DNSSEC

DNSSEC (angle Domain Name System Security Extensions) estas aro de etendoj fare de IETF por la protokolo DNS ebligantaj minimumigi atakojn, ligitajn al fia anstataŭo de DNS-adreso ĉe resolvo de domajnaj nomoj. Ĝi estas celita provizi al DNS-klientoj aŭtentajn respondojn je DNS-demandoj (aŭ aŭtentan informon pri foresto de datumo) kaj garantii ilian tutecon. Estas uzata kriptografio kun nefermita ŝlosilo. Ne estas garantiataj disponebleco de datumo kaj konfidencieco de demandoj. Garantiado de sekureco de DNS estas krize grava por la interreta sekureco ĝenerale.

Priskribo

Origine DNS estis ellaborata ne por sekureco, sed por kreo de skaleblaj distribuitaj sistemoj. Kun paso de tempo DNS iĝas ĉiam pli vundebla. Fiuloj facile alidirektas demandojn de uzantoj pri alfabeta nomo al falsaj serviloj kaj tiamaniere ricevas aliron al pasvortoj, numeroj de bankaj kartoj kaj aliaj konfidencaj informoj. La uzantoj mem nenion povas fari pri tio, ĉar en plej multaj okazoj ili eĉ ne suspektas, ke la demando estis alidirektita — la enhavo de la adreslinio de la foliumilo kaj la retejo mem estas precize tiaj, kiaj ilin supozas vidi la uzanto. DNSSEC estas provo garantii sekurecon kun samtempa retroira kongruo.

DNSSEC estis ellaborita por garantii sekurecon de klientoj kontraŭ falsa DNS-datumo, ekzemple kreita per veneno de DNS-kaŝmemoro (angle DNS cache poisoning; ankaŭ nomata falsado de DNS (angle: DNS spoofing)). Ĉiuj respondoj de DNSSEC havas ciferan subskribon. Kontrolante ciferan subskribon, DNS-kliento kontrolas ĝustecon kaj tutecon de la informo.

DNSSEC ne ĉifras datumon kaj ne ŝanĝas ĝian administradon, estante kongrua kun fruaj versioj de la nuna sistemo DNS kaj de aplikaĵoj. DNSSEC povas certigi ankaŭ tiajn informojn kiel ĝeneralcelaj kriptografiaj certigiloj enhavataj de CERT-rikordo. RFC 4398 (angle) priskribas kiel klasi tiujn certigilojn, en tiu nombro per retpoŝto, kio ebligas uzi DNSSEC estiel mondskalan deponejon de certigiloj subskribŝlosilaj.