DNSSEC — امنیت امضای DNS
پاسخ‌های DNS را امضای دیجیتال می‌کند تا جعلی بودنشان قابل تشخیص باشد. اعتماد از کلید ریشه تا هر دامنه زنجیر می‌شود.
- لایهٔ OSI: 7 (کاربرد)
- انتقال: UDP/TCP
- پورت: 53
- استاندارد: RFC 4033–4035
- سطح: پیشرفته · حدود 7 دقیقه
نکته‌های کلیدی
- DNSSEC اصالت و یکپارچگی پاسخ‌ها را تضمین می‌کند، ولی آن‌ها را رمز نمی‌کند.
- زنجیرهٔ اعتماد از کلید ریشه از طریق رکوردهای DS تا هر دامنه ادامه دارد.
- در کنار DoH یا DoT به کار می‌رود: یکی محرمانگی و دیگری اصالت.
مراحل شبیه‌سازی (6 بسته)
- پرسش با DO: کلاینت با بیت DO در رکورد EDNS0 اعلام می‌کند که داده‌های DNSSEC را هم می‌خواهد.
- A + RRSIG: سرور معتبر علاوه بر رکورد A، امضای دیجیتال آن (RRSIG) را با کلید ZSK دامنه می‌فرستد.
- پرسش DNSKEY: ریزالور برای بررسی امضا، کلیدهای عمومی دامنه را می‌خواهد.
- DNSKEY: دو کلید برمی‌گردد: KSK (پرچم ۲۵۷) که کلیدها را امضا می‌کند و ZSK (پرچم ۲۵۶) که رکوردها را امضا می‌کند.
- DS از والد: سرور .app چکیدهٔ KSK دامنه را در رکورد DS نگه می‌دارد و خودش آن را امضا کرده است. زنجیره تا کلید ریشه ادامه دارد.
- پاسخ با AD: همهٔ امضاها معتبرند؛ ریزالور پرچم AD (دادهٔ احرازشده) را روشن می‌کند. اگر امضا نادرست بود، پاسخ SERVFAIL می‌شد.