DNSSEC (Domain Name System Security Extensions) е набор от разширения към DNS системата, чрез които се добавя начин за верифициране на автентичността на публикуваната DNS информация за даден домейн.
Когато отваряме уеб-сайт в браузъра си, преди да се зареди съдържанието му, DNS резолверът извършва проверка в DNS указателя, при която се открива IP адресът на дадения домейн. По пътя на DNS проверката е възможно да се намеси трето лице, което да подведе DNS резолвера и да му подаде грешна DNS информация, например друг IP адрес за домейна или фалшив имейл домейн. С DNSSEC обаче, DNS резолверът може да провери дали получената DNS информация наистина отговаря на тази, публикувана в DNS зоната на домейна. With DNSSEC, however, the DNS resolver can verify that the received DNS information does indeed match that published in the domain's DNS zone.
Чрез DNSSEC се удостоверява истинността на DNS информацията за даден домейн, но по-важното е, че индиректно се защитава самоличността зад домейна и потребителите на предоставяната от него услуга.
Всяка DNS зона има двойка публичен/частен ключ. Собственикът на зона използва частния си ключ, за да подпише DNS данни в тази зона и да генерира цифрови подписи за тези данни. Рекурсивният резолвер използва публичния ключ на зоната за удостоверяване на DNS данни. Резолверът удостоверява цифровия подпис на DNS данните, които получава. Ако автентичността се потвърди, тогава DNS данните се считат за реални и се връщат на потребителя. Ако подписът не е удостоверен, тогава резолверът приема, че е настъпила атака, отървава се от данните и докладва грешката на потребителя.
Накратко, DNSSEC е проектиран да предпазва клиентите от фалшиви DNS данни.
Можете да прочетете повече за доверието на DNSSEC ключовете на icann.org.
