DNSSEC

Significa: Domain Name System Security Extensions

Extensões que dão autenticação de origem e integridade aos dados do DNS, com assinaturas que um resolver validador consegue verificar.

Um resolver validador o usa para separar uma resposta legítima de uma forjada ou alterada, seguindo uma cadeia de confiança a partir de um trust anchor configurado, em geral a chave da raiz, por cada delegação assinada. A RFC 9364 (2023) o tornou a Best Current Practice 237.

O núcleo são as RFCs 4033, 4034 e 4035 (março de 2005), a terceira versão depois das RFCs 2065 e 2535, com a RFC 6840 acrescentada depois como atualização geral. Ele traz quatro tipos de registro, RRSIG para as assinaturas, DNSKEY para as chaves da zona, DS no pai para atestar a chave do filho e NSEC para provar que um nome ou tipo não existe, além dos bits AD e CD do header e do bit DO no EDNS. A chave que assina pertence à zona, não aos servidores que a publicam.

O resolver parte de pelo menos um trust anchor e monta a cadeia DNSKEY, depois DS e DNSKEY a cada delegação, até o RRset. Uma resposta é secure, insecure (há prova assinada de que uma delegação não tem DS), bogus ou indeterminate. Quando a validação falha numa consulta recursiva, o servidor deve devolver SERVFAIL, e só uma consulta com CD ligado recebe os dados mesmo assim; um SERVFAIL que vira resposta com dig +cd aponta para um defeito de assinatura.

Não oferece confidencialidade nem proteção contra negação de serviço: consultas e respostas continuam legíveis. A RFC 9364 observa que nenhuma RFC Standards Track oferece outro método de autenticação de origem e registra o atraso da implantação: por estimativas recentes, menos de 10% dos nomes de domínio usados em sites estão assinados e só cerca de um terço das consultas a recursive resolvers é validado.

Também conhecido como: dnssec

Fontes

← Todos os verbetes do glossário