DNSSEC: підписані відповіді DNS

Коротко: Звичайному DNS вірять без доказів. DNSSEC підписує відповіді, щоб підробки можна було виявити. Він нічого не шифрує, а лише доводить справжність відповіді.

Проблема

Той, хто підсуне резолверу хибну відповідь (отруєння кешу, спуфінг), відправить вас на чужий сайт, навіть якщо ви ввели правильну адресу.

Як захищає DNSSEC

• Кожна зона має пару ключів (асиметричне шифрування). Зона підписує свої записи DNS (цифровий підпис); підпис лежить поруч як запис RRSIG.
• Відкритий ключ публікується в записі DNSKEY, а ланцюжок довіри йде вгору до батьківської зони (від кореня до TLD і до домену).
• Резолвер із перевіркою DNSSEC відхиляє відповідь, якщо підпис не сходиться.

Обмеження: не приховує вміст запиту (для цього DoH/DoT) і вимагає, щоб власник домену ввімкнув DNSSEC.

Див. також: DNS, DoH і DoT