DNSSEC: imzalı DNS yanıtları

Kısaca: Düz DNS kanıtsız olarak inanılır. DNSSEC yanıtları imzalar, böylece sahtecilikler fark edilebilir. Hiçbir şeyi şifrelemez; yalnızca yanıtın gerçek olduğunu kanıtlar.

Sorun

Bir çözücüye yanlış yanıt sızdıran biri (önbellek zehirleme, Spoofing) doğru adresi yazmış olsan bile seni yabancı bir siteye gönderir.

DNSSEC nasıl korur

• Her bölgenin bir anahtar çifti vardır (asimetrik şifreleme). Bölge DNS kayıtlarını imzalar (dijital imza); imza yanlarında bir RRSIG kaydı olarak durur.
• Genel anahtar bir DNSKEY kaydında yayımlanır ve güven zinciri üst bölgeye (kökten TLD’ye, alan adına) kadar uzanır.
• DNSSEC doğrulayan bir çözücü, imza uyuşmazsa yanıtı reddeder.

Sınır: sorgunun içeriğini gizlemez (bunun için DoH/DoT) ve alan sahibinin DNSSEC’i etkinleştirmesini gerektirir.

Ayrıca bak: DNS, DoH ve DoT