DNS bylo navrženo bez autentizace, takže padělané odpovědi — otrava cache, zcizené odpovědi — mohou uživatele tiše přesměrovat. DNSSEC podepisuje data zóny klíči zóny a řetězí důvěru přes rodičovské zóny, což validujícím resolverům umožňuje detekovat pozměněné či podvržené odpovědi.
Klíčové body
Rozsah ochranyDNSSEC dokazuje původ a integritu dat — nešifruje dotazy, neskrývá lookups ani nezabrání doméně samotné ukazovat někam škodlivým.
Řetěz nasazeníZóna musí být podepsána, rodič musí publikovat delegation signer a resolvery musí validovat; každý článek může selhat nezávisle.
Důležité omezeníSelhání validace vypadají jako výpadky a chyby rotace klíčů mohou doménu odpojit. DNSSEC rovněž nic nedělá proti kompromitovaným autoritativním serverům, únosům na úrovni účtu u registrátora či útočným cestám mimo DNS.