insiden pada tahun 2014<\/a>. Beberapa email yang seharusnya menggunakan layanan Gmail dan Yahoo! justru masuk ke server asing milik para hacker.<\/p>\nDNSSEC mencoba mencegah terjadinya kejadian serupa. Caranya dengan memanfaatkan\u00a0digital signature technology<\/em>. Semua catatan pada sistem DNS dilengkapi dengan tanda tangan digital bersandi khusus.<\/p>\nApa artinya? Verifikasi keaslian informasi yang dikirimkan dari server ke klien lebih mudah dilakukan. Jadi, apabila tidak sesuai dengan catatan pada authoritative DNS server bisa langsung dicegah.<\/p>\n
Dengan prosedur ini, penggunaan DNSSEC akan memastikan informasi yang Anda terima memang benar dari sumber resmi. Dan, dipastikan tidak terjadi perubahan informasi yang disusupi aktivitas hacker.<\/p>\n
Bagaimana penjelasan prosesnya?<\/p>\n
Cara Kerja DNSSEC<\/strong><\/span><\/h2>\nPada penjelasan DNS, Anda sudah belajar berbagai macam record DNS seperti A, AAA, CNAME, MX, dan lainnya.<\/p>\n
DNSSEC menambahkan beberapa record untuk digunakan, yaitu:<\/p>\n
\n- RRSIG<\/strong>\u00a0berisi signature digital dengan sandi khusus<\/li>\n
- DNSKey<\/strong>\u00a0menyimpan public signing key yang akan digunakan pada proses otentikasi informasi.<\/li>\n
- DS atau Delegation Signer<\/strong>\u00a0adalah hash DNSKey yang tersimpan di parent zone. Tugasnya memastikan semua catatan dari childzone tertentu bisa dipercaya.<\/li>\n
- NSEC atau Next Secure Record<\/strong>\u00a0bertugas memastikan informasi bahwa sebuah record DNS tidak ditemukan.<\/li>\n<\/ul>\n
Nah, sebelum masuk ke cara kerja DNSSEC, mari ingat kembali cara kerja DNS. Dimulai dari request melalui browser, DNS resolver bertugas mencari informasi yang diperlukan.<\/p>\n
Proses berjalan dari mencari di cache lokal, menghubungi ISP, hingga meminta bantuan root DNS server. Proses ini dilanjutkan hingga ke top level domain server dan authoritative name server.<\/p>\n
Semua langkah ini membutuhkan verifikasi DNSSEC key yang sesuai dengan DNS Zone-nya.<\/p>\n
Inilah penjelasannya:<\/p>\n
RRSet<\/strong><\/span><\/h3>\nPertama, DNSSEC system akan mengelompokkan semua record yang sama dalam satu wadah bernama RRSet. Tujuannya untuk memudahkan proses penggunaan signature. Misalnya, AAA record dikelompokkan sendiri, lalu ditandatangani secara digital dengan sandi khusus yang sama.<\/p>\n
Zone Signing Key (ZSK)<\/strong><\/span><\/h3>\nSelanjutnya, DNS server authoritative akan memberikan tanda khusus bernama Zone Signing Key (ZSK) berpasangan pada tiap RRSet. Ada private key dan public key.<\/p>\n
ZSK menggunakan metode asimetris seperti yang diterapkan dalam keamanan SSL.<\/p>\n
Ketika RRSet mendapatkan signature untuk public key, informasinya akan disimpan pada RRSIG record. Di sisi lain, public zone singing key disimpan di DNSKey record.<\/p>\n
Pada praktiknya, saat DNS resolver meminta suatu jenis DNS. Katakanlah AAA record, maka authoritative name server di DNS zone tersebut akan memberikan AAA record dan RRSIG record.<\/p>\n
Artinya, DNS resolver harus meminta DNSKey record kepada DNS server yang berisi public ZSK untuk bisa memvalidasi bahwa request tersebut valid.<\/p>\n
Key Signing Key (KSK)<\/strong><\/span><\/h3>\nSelain validasi yang dilakukan ZSK terhadap RRSet, ZSK sendiri perlu divalidasi oleh Key Signing Key (KSK). Tujuannya, untuk menunjukkan bahwa sistem DNSSEC aman, terutama di zone tertentu.<\/p>\n
Penjelasannya begini. Masih menggunakan contoh proses di atas. Ternyata, DNS server memberikan baik ZSK dan KSK. Jadi, ZSK untuk memverifikasi RRSIG atas permintaan RRSet AAA. Setelah berhasil, ZSK sendiri akan tervalidasi jika cocok dengan public KSK.<\/p>\n
Dengan demikian, apabila proses validasi berjalan sempurna, bisa diartikan bahwa seluruh DNS zone tersebut aman atau dapat dipercaya sumber informasinya.<\/p>\n
Delegationn Signer (DS)<\/strong><\/span><\/h3>\nLalu, siapa yang akan memvalidasi bahwa sebuah zone itu aman meskipun sudah ada bukti berbagai proses di atas yang valid?<\/p>\n
DNSSEC akan memanfaatkan sistem hirarki DNS dengan asumsi bahwa jika parent zone tersebut aman, maka child zone yang dimiliki juga aman.<\/p>\n
Caranya, ketika sebuah child zone terbentuk akan dibuat sebuah duplikat hash dari public KSK zone tersebut. Nantinya, setelah diberikan kepada parent zone, akan dibuatlah DS (Delegation Signer) record.<\/p>\n
Prosesnya hampir sama, pada saat DNS resolver diminta untuk menghubungi sebuah child zone, parent zone akan membekalinya dengan sebuah DS record. Yang harus dilakukan kemudian adalah mencocokan public KSK dari child zone dengan DS record. Jika sama, maka semua records di child zone aman.<\/p>\n
Chain of Trust<\/strong><\/span><\/h3>\nSemua tahapan proses yang terjadi selanjutnya sama.<\/p>\n
Untuk memastikan sebuah proses valid dibutuhkan pencocokan data dengan sistem di atasnya (parent). Begitu juga yang terjadi dengan DS record. Semua proses akan terus terjadi hingga masuk kepada root server.<\/p>\n
Inilah yang kemudian dipahami sebagai Chain of Trust yang menjadi dasar dari sistem DNSSEC.<\/p>\n
Kelebihan DNSSEC<\/strong><\/span><\/h2>\nNah, setelah mengetahui cara kerja dari DNSSEC, tidak dapat dipungkiri bahwa sistem ini memiliki kelebihan sebagai berikut:<\/p>\n
Memberikan Keamanan Ekstra<\/strong><\/span><\/h3>\nPenggunaan DNSSEC menjanjikan tingkat keamanan yang lebih tinggi. Jadi, akan mempersulit upaya hacker untuk dapat menyusup ke sistem DNS yang sudah ada.<\/p>\n
Hal ini terutama karena diberlakukannya digital signature yang harus dilewati dengan proses pencocokan keys. Apalagi mengingat penggunaan teknik asimetris yang diterapkan, langkah peretasan akan semakin sulit dilakukan.<\/p>\n