DNSSECskyddet

DNSSECskyddet avser det skydd som DNSSEC ger mot manipulation av DNS-data och mot spoofing av svar. DNSSEC står för Domain Name System Security Extensions och är en uppsättning säkerhetsförädlningar som tillför dataäkthet och integritet till DNS-svar. Skyddet innebär att klienter och program kan verifiera att ett DNS-svar är signerad av den officiella zonens myndighet och inte har ändrats på vägen. DNSSEC ger inte konfidentialitet eller kryptering av trafiken.

Så fungerar det: Zonsdata signeras digitalt och varje RR-set får en RRSIG-post. Nycklar lagras i DNSKEY-poster, och en DS-post i föräldrazonen kopplar zonen till kedjan av tillit. Genom kedjan från rotzonen till toppdomänen och vidare ned i underdomänerna upprättas en kedja av tillit som gör att validerade svar kan utläsas av validerande resolvers. NSEC och NSEC3 bidrar till skyddet mot bevis av existens av DNS-objekt. För att DNSSECskyddet ska fungera krävs att resolvers utför validering och att de använder en korrekt betrodd rot som anchor.

Fördelar och begränsningar: DNSSECskyddet minskar risken för cache-poisoning, turnkey-manipulation och andra attacker mot DNS-svar. Det ger inte skydd mot avlyssning eller mot kapning av användarens anslutning och ersätter inte krypterad kommunikation som HTTPS/TLS. Driftmässiga utmaningar inkluderar nyckelhantering, nyckel- och algoritmbyten samt signering av zoner, vilket kräver operativt underhåll och korrekt implementering. Adoptionen är bred bland rotzonen och många domäner samt resolvers stödjer DNSSEC, men full global validering är fortfarande varierande.