EMZETT.DNSSEC: подписанные ответы DNS
Коротко: Обычному DNS верят без доказательств. DNSSEC подписывает ответы, чтобы подделки можно было обнаружить. Он ничего не шифрует, а только доказывает подлинность ответа.
Проблема
Тот, кто подсунет резолверу ложный ответ (отравление кэша, спуфинг), отправит вас на чужой сайт, даже если вы ввели правильный адрес.
Как защищает DNSSEC
- У каждой зоны есть пара ключей (асимметричное шифрование). Зона подписывает свои записи DNS (цифровая подпись); подпись лежит рядом как запись
RRSIG. - Открытый ключ публикуется в записи
DNSKEY, а цепочка доверия идёт вверх до родительской зоны (от корня к TLD и к домену). - Резолвер с проверкой DNSSEC отклоняет ответ, если подпись не сходится.
Ограничение: не скрывает содержимое запроса (для этого DoH/DoT) и требует, чтобы владелец домена включил DNSSEC.