Hi,
Baru-baru ni aku berpeluang untuk join DNSSEC Training 2026 yang dianjurkan oleh MYNIC. Thanks to my company sebab bagi peluang ni.
Dalam kerja aku memang ada involve dengan manage/update DNS zone untuk client. Tapi kalau nak masuk deeper, especially part DNSSEC, memang kurang exposure lagi. Basic macam jenis record dan betapa pentingnya DNS tu aku tahu, cuma sebelum ni tak pernah explore sampai level security macam ni.
Sebelum ni, aku tak ambil kisah sangat pasal DNSSEC sebab:
- Client jarang implement
- Kalau implement pun, selalu jadi isu masa domain transfer
- DNS propagation jadi pelik / fail tanpa sebab jelas
Aku tahu, kalau propagation timing tu nampak pelik, memang terus akan suspect mesti ada kaitan dengan DNSSEC. Selalunya memang tepat. Cuma sebelum ni, aku tak pernah ambil kisah untuk faham deeper kenapa isu tu boleh jadi. Aku cuma tahu DNSSEC ni ada beberapa unique record dan berbeza daripada DNS biasa.
Apa Sebenarnya DNSSEC?
Lepas attend training ni, baru aku faham properly.
DNSSEC (Domain Name System Security Extensions) adalah satu layer security untuk DNS yang gunakan digital signature. Fungsi dia untuk pastikan data DNS tidak diubah sepanjang transit. Bukan untuk encrypt data tapi untuk validate intergrity dan authenticity.
Konsep Penting Yang Baru Aku Faham
1. Key Pair & DNSKEY
DNSSEC guna public & private key pair:
- Private key - digunakan untuk sign DNS zone (disimpan di server)
- Public key - publish dalam DNS sebagai DNSKEY record
Maksudnya:
DNSKEY tu bukan key pair, tapi represent public key je.
2. Macam Mana Validation Berlaku
Bila DNS zone dah sign:
- Setiap record ada RRSIG (signature)
- Resolver akan guna DNSKEY (public key) untuk verify
Kalau data berubah walaupun sikit, verification akan gagal dan resolver reject.
Kenapa Selalu Jadi Isu Masa Domain Transfer?
Dalam DNSSEC, ada satu lagi benda penting which is DS record (Delegation Signer). DS record ni connect antara parent zone dengan domain kita (chain of trust).
Kalau domain dan pindah tapi DS record tak update/tak remove, resolver akan detect mismatch dan terus fail untuk resolve.
Sebab tu la kadang-kadang record semua nampak betul tapi domain langsung tak boleh akses... rupanya DNSSEC yang block sebab validation gagal.
Serangan Yang DNSSEC Boleh Elak
Tanpa DNSSEC, DNS boleh kena attack dekat middle (contohnya resolver):
- Cache poisoning
- Spoofed DNS response
Apa yang boleh berlaku? User pergi website legit tapi redirect ke phishing/scam site. Dengan DNSSEC, data yang diubah tidak akan pass validation dan resolver reject response tersebut.
Itu saja.
Apa-apa pun, training ni best sebab belajar benda baru. Once dah belajar, DNS ni bukan sekadar point domain ke IP tapi sebenarnya satu sistem yang memerlukan trust dan validation.
So, bila ada isu pelik-pelik dengan propagasi, boleh consider juga kemungkinan DNSSEC isu. Boleh check sama ada DNSSEC enable atau tidak di URL https://www.whatsmydns.net/dnssec-check
Takde gambar sangat sebab busy fokus training 😝