Apa yang dilakukan DNS
Setiap kali Anda mengunjungi sebuah website, perangkat Anda menanyakan sistem DNS untuk mengetahui alamat IP apa yang menghosting domain tersebut. DNS adalah database hierarkis dan terdistribusi yang dikelola di jutaan server di seluruh dunia.
Proses pencarian:
- Browser Anda menanyakan recursive resolver (biasanya disediakan oleh ISP atau layanan seperti 8.8.8.8)
- Resolver menanyakan root nameserver untuk menemukan nameserver mana yang mengelola TLD (misalnya .com)
- Resolver menanyakan TLD nameserver untuk menemukan nameserver autoritatif untuk domain tertentu
- Resolver menanyakan authoritative nameserver untuk jawaban akhir (alamat IP)
- Resolver menyimpan hasilnya dalam cache selama periode TTL record
Proses ini biasanya membutuhkan 20–120 milidetik.
Apa yang ditambahkan DNSSEC
DNSSEC memperluas DNS dengan tanda tangan digital di setiap langkah rantai pencarian. Tambahan utama:
DNSKEY records — Diterbitkan oleh setiap zona, berisi kunci publik yang digunakan untuk memverifikasi tanda tangan di zona tersebut.
RRSIG records — Tanda tangan digital yang mencakup setiap set record DNS.
DS records — Record Delegation Signer yang diterbitkan di zona induk, menciptakan tautan (rantai kepercayaan) antara zona induk dan anak.
NSEC/NSEC3 records — Record penolakan keberadaan yang diautentikasi, membuktikan bahwa nama yang ditanyakan tidak ada di zona.
DNS vs DNSSEC: perbandingan berdampingan
| Fitur | DNS | DNSSEC |
|---|---|---|
| Fungsi | Menyelesaikan nama ke alamat IP | Memverifikasi keaslian data DNS |
| Diperkenalkan | 1983 (RFC 882/883) | 1997–2005 (RFC 2535, 4033–4035) |
| Enkripsi | Tidak ada | Tanda tangan (bukan enkripsi) |
| Mencegah cache poisoning | Tidak | Ya |
| Mencegah penyadapan | Tidak | Tidak (gunakan DoH/DoT) |
| Dipersyaratkan ICANN untuk TLD | Ya | Ya |
| Opsional bagi registran | Tidak relevan | Ya, untuk domain tingkat kedua |
| Dampak performa | Dasar | Respons sedikit lebih besar |
| Mode kegagalan | Mengembalikan jawaban salah diam-diam | Mengembalikan SERVFAIL (error terlihat) |
Ketika validasi DNSSEC gagal
Perbedaan perilaku utama: ketika DNS mengembalikan jawaban yang buruk akibat cache poisoning, browser dapat berpindah ke situs penyerang tanpa memberi tanda. Ketika validasi DNSSEC gagal, resolver mengembalikan error SERVFAIL — domain terlihat tidak dapat dijangkau sehingga pengguna tidak diarahkan diam-diam ke server palsu.
Perilaku ini memang dirancang demikian: gangguan yang terlihat lebih aman daripada pengalihan yang tidak terlihat. Pengguna dan sistem pemantauan dapat mendeteksi SERVFAIL, sedangkan pembajakan DNS tanpa DNSSEC sulit dikenali.
Bagi operator TLD, kesalahan penandatanganan DNSSEC seperti tanda tangan kedaluwarsa atau rollover yang keliru dapat menimbulkan gangguan yang langsung terlihat. Karena itu, pengelolaan DNSSEC memerlukan pemantauan 24/7, penandatanganan otomatis, serta perlindungan kunci berbasis HSM.
Pertanyaan yang sering diajukan
Apakah DNSSEC memperlambat resolusi DNS?
Validasi DNSSEC menambahkan sedikit waktu pemrosesan di sisi resolver dan meningkatkan ukuran respons DNS. Dalam praktiknya, latensi tambahan biasanya 1–5ms untuk resolver modern, yang dapat diabaikan.
Bisakah saya menggunakan DNSSEC tanpa RSP?
Pemilik domain individual dapat mengaktifkan DNSSEC melalui panel kontrol registrar mereka — ini tidak memerlukan RSP. Operator TLD (operator registry) memerlukan dukungan tingkat RSP karena mengelola zone signing key, upacara kunci, dan pengiriman record DS di tingkat TLD memerlukan infrastruktur khusus.
Apakah DNSSEC mencegah semua serangan DNS?
DNSSEC mencegah serangan keaslian data — cache poisoning, spoofing, dan injeksi man-in-the-middle. Ini tidak mencegah serangan Denial-of-Service (DoS/DDoS) terhadap infrastruktur DNS, penyadapan kueri DNS, atau kompromi akun registrar/registry.