DNS et domaines
DNSSEC
Des signatures cryptographiques sur les enregistrements DNS, avec une chaîne de confiance depuis la racine, pour qu'un résolveur distingue une réponse falsifiée d'une vraie.
Les réponses DNS ne sont pas signées par défaut : un résolveur doit faire confiance à ce qui lui revient, et une réponse falsifiée envoie tout le monde derrière ce résolveur vers le mauvais serveur. DNSSEC ajoute des signatures aux enregistrements et une chaîne de confiance. La racine se porte garante de .lu, .lu se porte garant de votre zone par un enregistrement DS, et les clés de votre zone signent chaque enregistrement.
Un résolveur validant (la plupart des résolveurs publics et des résolveurs de FAI aujourd'hui) vérifie la chaîne et rejette les réponses dont les signatures ne correspondent pas. Il échoue en mode fermé : une zone dont l'enregistrement DS pointe vers une clé absente de la zone renvoie SERVFAIL à tout le monde derrière un résolveur validant, ce qui est exactement ce qui arrive quand un domaine change d'hébergeur DNS avec l'ancien DS toujours présent au registre.
DNSSEC prouve l'authenticité, pas la confidentialité ; il ne chiffre rien. C'est la fondation de DANE et la raison pour laquelle des enregistrements comme CAA peuvent être considérés comme fiables. Activez-le si votre hébergeur DNS signe et renouvelle les clés automatiquement ; retirez le DS avant de changer d'hébergeur DNS.