DNSSECvarmennus

DNSSECvarmennus tarkoittaa DNSSEC-tekniikan avulla tapahtuvaa vastauksien aitouden ja eheyden varmistamista. DNSSEC lisää kryptografiset allekirjoitukset sekä julkisen avaimen infrastruktuurin DNS-vastauksiin, jolloin vastaanottaja voi todentaa, että vastaukset ovat peräisin oikeasta nimipalvelimesta eikä niitä ole muutettu matkan varrella. Varmentaminen on keskeistä suojauksessa cache-poisoningia ja man-in-the-middle -hyökkäyksiä vastaan.

Toteutus perustuu luottamusketjuun. Root-alueen DNSKEY-tiedot ovat luottamuksen perusta, ja jokainen nimipalvelu tallentaa DS-tietueen vanhemman zonen DNSKEY-tiedoista. Kun hakemukseen palautetaan vastauksia, niissä on RRSIG-allekirjoitus, ja resolver tarkistaa allekirjoituksen sekä tarvittaessa DNSKEY- ja DS-tietueet. Joissakin tilanteissa käytetään myös NSEC- tai NSEC3-merkintöjä todistamaan olemattomia tietueita. Näin voidaan varmistaa sekä olemassa olevien että ei-olemassa olevien nimien oikeellisuus.

DNSSEC-varmennus vaatii, että DNS-resolver on konfiguroitu suorittamaan varmistuksen, sekä että luottamusankkureita pidetään ajan tasalla. Yleisiä ratkaisuja sisältävät sekä verkkopalvelut että käyttöjärjestelmä- tai sovelluskohtaiset resolverit (esimerkiksi Unbound, BIND tai Knot DNS). Lopullisen käyttäjän näkökulmasta varmistus voi tulla automaattisesti osa resoluutiota tai käyttää DNSSEC-tukea tarjoavia julkisia resolvereita.

Hyötyinä ovat paremman turvallisuuden tarjoaminen nimipalvelinvastauksille ja vähintäänkin parempi suoja väitetylle lähteelle. Haasteita ovat avainkierrätys, DS-tietueiden hallinta, kellonaikaiset viiveet sekä yhteensopivuus vanhojen palvelujen kanssa. DNSSEC-varmennus on yleistynyt, mutta toteutukset voivat vaihdella organisaation mukaan.