DNS a fost proiectat fără autentificare, așa că răspunsurile falsificate — otrăvirea cache-ului, răspunsuri deturnate — pot redirecționa utilizatorii silențios. DNSSEC semnează datele de zonă cu cheile zonei și înlănțuiește încrederea prin zonele părinte, permițând rezolverelor validante să detecteze răspunsuri manipulate sau falsificate.
Puncte esențiale
Domeniu de protecțieDNSSEC dovedește originea și integritatea datelor — nu criptează interogări, nu ascunde căutări și nu împiedică domeniul în sine să indice undeva malițios.
Lanț de implementareZona trebuie semnată, părintele trebuie să publice semnatarul delegării, iar rezolverele trebuie să valideze; fiecare verigă poate eșua independent.
Limitare importantăEșecurile de validare arată ca întreruperi, iar greșelile de rotație a cheilor pot scoate un domeniu offline. DNSSEC nu face nimic nici împotriva serverelor autoritative compromise, a deturnărilor la nivel de cont la registrar sau a căilor de atac non-DNS.