DNSSEC: De ce contează în 2026 și cum vă protejați domeniul

Pe scurt

DNSSEC (DNS Security Extensions, RFC 4033) adaugă semnături criptografice peste răspunsurile DNS. Fără DNSSEC, orice atacator poziționat strategic — fie pe un WiFi public, în rețeaua unui ISP compromis sau printr-un BGP hijack — poate substitui IP-ul răspunsului către domeniul vostru și redirecționa traficul legitim către o infrastructură pe care o controlează el.

Cazuri reale recente: 2008 atacul Kaminsky asupra DNS cache poisoning; 2018 Amazon Route 53 BGP hijack pentru MyEtherWallet (criptomonede furate de 150.000 USD în 2 ore); 2020 redirecționări DNS injectate la nivel de ISP în Ucraina.

În România, peste 70% din domeniile guvernamentale (.gov.ro) rulează fără DNSSEC. Pentru organizațiile aflate sub obligația NIS2 (Lege 244/2024), este una dintre cele mai simple configurări care reduc semnificativ riscul cibernetic.

Ce este DNSSEC, pe înțelesul tuturor

Când utilizatorul vostru tastează firma.ro în browser, se întâmplă o conversie invizibilă:

1. Browser-ul întreabă un DNS resolver: “Ce IP are firma.ro?”
2. Resolver-ul caută în lanțul ierarhic DNS (root → .ro → firma.ro)
3. Primește un răspuns gen 91.234.56.78
4. Browser-ul se conectează la acel IP

Problema: la pasul 3, răspunsul DNS circulă necriptat și neautentificat prin rețea. Oricine îl poate citi sau, mai grav, îl poate substitui.

DNSSEC adaugă o semnătură criptografică pe răspunsul DNS:

• Operatorul domeniului semnează zona cu o cheie privată (KSK + ZSK)
• Resolver-ul care suportă DNSSEC verifică semnătura folosind cheia publică (record DNSKEY)
• Lanțul de încredere se validează până la rădăcina DNS root (anchor trust ICANN)
• Dacă semnătura nu e validă → resolver-ul refuză răspunsul (fail closed)

Practic: cu DNSSEC, atacatorul poate intercepta răspunsul DNS dar nu îl poate falsifica fără cheia privată a operatorului legitim.

Atacuri concrete pe care le previne DNSSEC

1. Public WiFi rogue (cazul cafenelei și aeroportului)

Atacatorul rulează un access point WiFi cu același SSID ca cel al cafenelei legitime. Telefonul utilizatorului se conectează automat. Atacatorul rulează un DNS server fals care răspunde:

• firma.ro → 91.234.56.78 (IP-ul lui, nu al firmei)

Pe noul IP, atacatorul a clonat site-ul firmei și a obținut un certificat TLS valid prin Let’s Encrypt cu validare DNS (chiar el a controlat DNS-ul în acel moment). Browser-ul utilizatorului afișează site-ul cu lacăt verde — nu există nicio indicație că ceva e în neregulă.

Cu DNSSEC activ, resolver-ul utilizatorului refuză răspunsul nesemnat → utilizatorul nu ajunge pe site-ul fals.

2. DNS cache poisoning (Birthday attack — Kaminsky 2008)

Atacatorul exploatează lipsa de randomizare în portul sursă al query-urilor DNS pentru a injecta răspunsuri false în cache-ul resolver-ului public. Toți utilizatorii care folosesc acel resolver vor primi IP-uri controlate de atacator pentru domeniul țintă.

Cu DNSSEC, semnătura nu se potrivește → injecția e respinsă.

3. BGP hijack la nivel ISP

Atacatorul (sau un actor state-level) anunță un prefix BGP fals care include IP-ul DNS authoritative al firmei. Trafic global redirecționat. Cu DNSSEC, browserul/resolver-ul refuză răspunsul nesemnat.

Impact business (de ce contează pentru CFO/CEO, nu doar IT)

Risc	Cost potențial
Furt credențiale clienți (login redirecționat)	Pierdere clienți + costuri investigare incident (5.000-50.000 EUR forensic)
Branding hijack (clienți încasați pe site fals)	Reputațional: 6-12 luni pentru recuperare
GDPR Art.32 — măsuri tehnice insuficiente	Amenzi DPA RO până la 4% cifră de afaceri globală
NIS2 Art.21 — integritate sisteme	Amenzi până la 10 milioane EUR sau 2% cifră afaceri pentru entități esențiale
DORA (sectorul financiar)	Raportare obligatorie ECB în 4 ore de la incident

Cum implementați DNSSEC — ghid pas-cu-pas

Pas 1 — Verificați ce suport oferă registrar-ul

Majoritatea registrar-urilor moderne au DNSSEC auto-signing cu 1 click:

• Cloudflare (gratuit) — meniu DNS → DNSSEC → Activate
• Route 53 (AWS) — Hosted Zone → Edit DNSSEC
• GoDaddy / Namecheap — DNS Management → DNSSEC

În România, rotld.ro (registry .ro) suportă DNSSEC din 2017. Verificați la registrar-ul vostru (înregistrare prin RegistryRO, RoTLD, etc.) opțiunea în panel.

Pas 2 — Generați și publicați DS records

Registrar-ul vă oferă un DS record (Delegation Signer):

firma.ro. IN DS 12345 13 2 ABCDEF1234567890...

Acesta se publică automat în zona TLD parent (.ro) — la unii providers (Cloudflare) e automat, la alții manual.

Pas 3 — Verificați propagarea (24-48h)

dig DNSKEY firma.ro +dnssec
dig DS firma.ro

Sau folosiți validatorul vizual: https://dnsviz.net/d/firma.ro/dnssec/ — vă arată chain of trust complet.

Pas 4 — Recomandați resolver-uri DNSSEC-validating clienților

Setați (sau recomandați) servere DNS care validează DNSSEC by default și hard-fail la răspunsuri invalide:

• Cloudflare — 1.1.1.1
• Quad9 — 9.9.9.9
• Google Public DNS — 8.8.8.8

Pas 5 — Rotire chei (KSK Rollover)

Bună practică: rotire KSK (Key Signing Key) anual. Majoritatea providers fac auto-rollover. Documentați procesul în runbook-ul intern de securitate.

Confuzii frecvente despre DNSSEC

“DNSSEC încetinește site-ul.” — Mit. Overhead-ul tipic e <2ms la primul query (cache-uit ulterior). Imperceptibil.

“DNSSEC îmi rupe site-ul.” — Riscul există dacă faceți rollover greșit (ex. publicați KSK nou fără DS la registrar). Cu providers care fac auto-rollover (Cloudflare), riscul e zero.

“Doar băncile au nevoie de DNSSEC.” — Greșit. Orice firmă cu clienți care interacționează prin website (e-commerce, SaaS B2B, servicii publice) e expusă. NIS2 cere explicit “integritatea sistemelor și rețelelor” — DNSSEC e cea mai accesibilă măsură.

Verificați acum — gratuit, în 30 secunde

Verificați domeniul vostru pe ARTEMIS — primiți un raport instant cu starea DNSSEC + alte 22 verificări (DMARC, SPF, MTA-STS, CSP, HSTS, etc.) la 2 EUR.

---

🔗 Soluții complementare CAI Technology

Pentru a îmbunătăți securitatea domeniului vostru, ecosistemul CAI Technology oferă:

• ARTEMIS — Audit tehnic complet de securitate cibernetică (38+ verificări automate). Raport profesional pentru raportare NIS2/PCI-DSS.
• Lexnomia — Evaluare auditor-grade de conformitate cu reglementări UE: NIS2, GDPR, DORA, EU AI Act, ISO 27001, CRA, DSA. Pentru organizații mid-market care vor un raport oficial.
• BeLegal cu SandboxAI — Verificare rapidă, gratuită, în 5 minute, pentru 7 reglementări UE. Ideal ca prim pas înainte de evaluarea completă.
• Auditope — Audit holistic web (SEO + AI search visibility + Performance + WCAG + GDPR + UX). Complementar pentru perspectiva de marketing și accesibilitate.
• AriaUnited — Consultanță pentru fonduri europene (PNRR, POIDS, Horizon Europe). Pentru organizațiile care vor să acceseze granturi pentru investiții în securitate cibernetică.

DNSSEC e un punct mic; portfoliul complet de servicii CAI vă duce de la verificare → conformitate → finanțare → implementare.

---

Acest articol face parte din seria CAI Technology dedicată securității cibernetice pentru organizațiile din România. Pentru întrebări specifice, scrieți la tehnic@caitech.ro.