3.1.15. DNSSEC

В стандартном DNS подлинность полученных данных никак не подтверждается. Из-за этого существует риск того, что при получении DNS-записей домена данные в процессе передачи могут быть подменены злоумышленниками и посетители незаметно для себя вместо настоящего сервера с сайтом попадут на сервер злоумышленника. DNSSEC (Domain Name System Security Extensions) — это дополнение безопасности для DNS, которое решает эту проблему.

Технология DNSSEC обеспечивает два основных улучшения по сравнению со стандартным DNS:

• Аутентификация источника данных (Data Origin Authtntication). Позволяет убедиться, что данные поступают именно из той зоны, из которой нужно. Например, являются ли записи, которые возвращает example.com, настоящими записями example.com, а если данные берутся из кеша, то действительно ли они от настоящего example.com. Для этих целей DNSSEC строит цепочку доверия от корневой зоны DNS до DNS-записей конкретного домена с использованием цифровых подписей. На каждом этапе проверки можно быть уверенным, что дочерняя зона имеет доверие родительской зоны и что данные этой зоны не были скомпрометированы.
• Защита целостности данных (Data Integrity Protection). Позволяет убедиться, что данные не были модифицированы в процессе их доставки. Например, если есть данные example.com, то являются ли они теми неизменёнными данными example.com, которые создал администратор example.com. Важно отметить, что в случае подмены DNSSEC не исправляет данные, а лишь показывает наличие изменений.

DNSSEC дополняет стандартный DNS, но не заменяет его. Т. е. для получения данных домена может использоваться либо стандартный DNS (данные без подтверждения), либо стандартный DNS плюс DNSSEC (данные с подтверждением). В первом случае данные могут быть подменены в процессе доставки и это останется незамеченным, во втором случае данные, полученные через DNS, дополнительно проверяются данными DNSSEC и подмена данных будет сразу выявлена.

Таким образом, использование DNSSEC гарантирует, что посетители сайта попадут именно на тот сервер, который нужно, и исключает возможность подмены данных и незаметного для пользователей перенаправления их на сервер злоумышленников.