DNS an Domainen
DNSSEC
Kryptografesch Signaturen op DNS-Records, mat enger Vertrauenskette vun der Root un, sou datt e Resolver eng gefälschten Äntwert vun der richteger ënnerscheede kann.
DNS-Äntwerte si standardméisseg net signéiert: e Resolver muss deem vertrauen, wat zréckkënnt, an eng gefälschten Äntwert schéckt jiddereen hannert deem Resolver op de falsche Server. DNSSEC setzt Signaturen op d'Records an eng Vertrauenskette dobäi. D'Root biergt fir .lu, .lu biergt iwwer en DS-Record fir Är Zone, an d'Schlëssele vun Ärer Zone signéieren all Record.
E validéierende Resolver (déi meescht ëffentlech an déi meescht ISP-Resolver haut) kontrolléiert d'Kette a verwerft Äntwerten, deenen hir Signaturen net passen. Am Feelerfall blockéiert en: eng Zone, där hiren DS-Record op e Schlëssel weist, deen net an der Zone ass, gëtt fir jiddereen hannert engem validéierende Resolver SERVFAIL zréck, an dat ass, wat geschitt, wann en Domain den DNS-Host wiesselt an den alen DS nach beim Registry steet.
DNSSEC beweist Authentizitéit, net Vertraulechkeet; et verschlësselt näischt. Et ass d'Fundament fir DANE an de Grond, firwat Records wéi CAA iwwerhaapt vertrauenswierdeg sinn. Schalt et un, wann Ären DNS-Host d'Zone automatesch signéiert an d'Schlësselen automatesch wiesselt; huelt den DS eraus, ier Dir den DNS-Host wiesselt.