DNS en domeinen
DNSSEC
Cryptografische handtekeningen op DNS-records, met een vertrouwensketen vanaf de root, zodat een resolver een vervalst antwoord van het echte kan onderscheiden.
DNS-antwoorden zijn standaard niet ondertekend: een resolver moet vertrouwen wat er terugkomt, en een vervalst antwoord stuurt iedereen achter die resolver naar de verkeerde server. DNSSEC voegt handtekeningen aan de records toe en een vertrouwensketen. De root staat in voor .lu, .lu staat via een DS-record in voor uw zone, en de sleutels van uw zone ondertekenen elk record.
Een validerende resolver (tegenwoordig de meeste publieke en de meeste ISP-resolvers) controleert de keten en verwerpt antwoorden waarvan de handtekeningen niet kloppen. Hij faalt gesloten: een zone waarvan het DS-record naar een sleutel wijst die niet in de zone staat, geeft SERVFAIL voor iedereen achter een validerende resolver, en dat is wat er gebeurt als een domein van DNS-host wisselt terwijl het oude DS nog bij het register staat.
DNSSEC bewijst authenticiteit, geen vertrouwelijkheid; het versleutelt niets. Het is de basis voor DANE en de reden dat records zoals CAA überhaupt te vertrouwen zijn. Schakel het in als uw DNS-host automatisch ondertekent en sleutels rolt; verwijder het DS voordat u van DNS-host wisselt.