DNS został zaprojektowany bez uwierzytelniania, więc sfałszowane odpowiedzi — zatruwanie pamięci podręcznej, przejęte odpowiedzi — mogą po cichu przekierowywać użytkowników. DNSSEC podpisuje dane strefy kluczami strefy i wiąże zaufanie łańcuchem przez strefy nadrzędne, pozwalając walidującym resolverom wykrywać zmienione lub podszute odpowiedzi.
Najważniejsze punkty
Zakres ochronyDNSSEC dowodzi pochodzenia i integralności danych — nie szyfruje zapytań, nie ukrywa wyszukiwań ani nie powstrzymuje samej domeny przed wskazywaniem złośliwego miejsca.
Łańcuch wdrożeniaStrefa musi być podpisana, rodzic musi publikować rekord delegacji podpisującej (delegation signer), a resolvery muszą walidować; każde ogniwo może zawieść niezależnie.
Istotne ograniczenieNiepowodzenia walidacji wyglądają jak awarie, a błędy rotacji kluczy mogą wyłączyć domenę z działania. DNSSEC nic też nie daje przeciwko skompromitowanym serwerom autorytatywnym, przejęciom na poziomie konta u rejestratora ani ścieżkom ataku poza DNS.