Alan adı sistemi güvenlik eklentileri

Genel Bakış

Alan Adı Sistemi ( DNS ), orijinal tasarımında hiçbir güvenlik önlemi içermez. Ölçeklendirilebilir dağıtılmış bir sistem olarak tasarlanmıştır. Alan Adı Sistemi Güvenlik Eklentileri (DNSSEC) geriye dönük uyumluluğu korurken, güvenlik önlemleri eklemeye çalışır. RFC 3833, DNS ile ilgili bilinen bazı tehditleri ve DNSSEC'in bu tehditlere nasıl yanıt verdiğini belgelemektedir.
DNSSEC, sahte veya manipüle edilmiş DNS verilerinden (DNS önbellek zehirlenmesi ile oluşturulan veriler gibi ) , uygulamaları korumak için (ve bu uygulamalara hizmet eden çözümleyicileri önbelleğe almak) kullanılacak şekilde tasarlanmıştır. DNSSEC korumasıyla gelen tüm cevaplar dijital olarak imzalanmıştır. Bir DNS çözümleyici, dijital imzayı kontrol ederek, bilgilerin alan sahibi tarafından yayınlanan ve yetkili bir DNS sunucusunda sunulan bilgilerle aynı (yani, değiştirilmemiş ve tam) olup olmadığını kontrol edebilir. IP adreslerini korumak birçok kullanıcı için en öncelikli endişe olsa da, DNSSEC, DNS ‘ de yayınlanan tüm veriyi koruyabilir, metin kayıtları (TXT) gibi, e-posta değişim kayıtları (MX) gibi ve DNS'de saklanan kriptografik sertifikalara başvuru yayınlayan diğer güvenlik sistemlerini saklamak için de kullanılabilir.(örneğin: Sertifika Kayıtları (CERT records, RFC 4398), SSH parmak izleri (SSHFP, RFC 4255), IPSec açık anahtarları (IPSECKEY, RFC 4025), ve TLS Trust Anchors (TLSA, RFC 6698).
DNSSEC verinin gizliliğini sağlamaz, bütün DNSSEC cevapları doğrulanmıştır ancak şifrelenmez. DNSSEC, DoS ataklarına karşı direkt olarak korumaz, ancak dolaylı olarak bazı faydalar sağlar(çünkü imza kontrolü güvenilir olmayan tarafların kullanımına izin verir, bu ancak DNS sunucusu kendinden imzalı bir sertifika kullanıyorsa doğrudur ,internet-bağlantılı DNS sunucuları için önerilmez).
DNS sunucuları arasında gönderilen toplu verileri (DNS zone transferi gibi) güvenli hale getirmek için diğer standartlar (DNSSEC olmayan) kullanılır. IETF RFC 4367 ‘ de dökümente edildiği gibi, bazı kullanıcılar ve geliştiriciler DNS adları hakkında yanlış tahminler yapmaktadır, örneğin bir şirketin genel adı artı “.com” her zaman onun alan adıdır gibi. DNSSEC yanlış denemelere karşı korumaz, sadece verinin gerçekte alan sahibinden alındığını veya uygun olmadığını doğrulayabilir.
DNSSEC özellikleri (DNSSEC-bis olarak adlandırılır) geçerli DNSSEC protokolünü detaylı olarak açıklar. Bakınız: RFC 4033, RFC 4034, and [rfc:4035 RFC 4035.] Bu yeni RFC ‘lerin yayınlanmasıyla (Mart 2005), daha önceki RFC ( RFC 2535 ) geçmişte kalmıştır.
İnternetin bir bütün olarak güvenceye alınması için DNS' in güvence altına alınmasının kritik öneme sahip olduğuna inanılmaktadır, ancak DNSSEC' in yayılması özellikle bazı zorluklar ile aksamıştır (22 Ocak 2010'dan beri):
• İnternet boyutuna göre ölçeklenebilen geriye-yönelik uyumlu bir standart tasarlama ihtiyacı,
• İstenildiğinde, "bölge(DNS zone) ayrıntılı listesi" koruması,
• Çok geniş alanda yayılmış DNS sunucuları ve çözümleyicileri (istemciler) genelinde DNSSEC uygulamalarının yayılması,
• Üst seviye alan kök anahtarlarına kimin sahip olması gerektiği konusunda uygulayıcılar arasındaki anlaşmazlık,
• DNSSEC ve DNSSEC yayılımının algılanan zorluğunu, karmaşıklığını aşmak .
Microsoft Windows' un kullandığı saplama çözümleyici ; Özellikle Windows 7 ve üstü, geçerliliği olmayan (ancak DNSSEC uyumlu) bir türdür. DNSSEC hizmetlerine gerçek bir güvenin yerleştirilmesi için, bu saplama çözümleyici, söz konusu yinelemeli ad sunucularına (genellikle ISP tarafından denetlenir) ve kendisi ile bu ad sunucuları arasındaki iletişim kanallarına IPsec(çok fazla yayılmamış olanın kullanımıyla),  SIG(0), or TSIG. gibi yöntemler kullanarak güvenmelidir.

İşlemler

DNSSEC , DNS sorguları için kayıtları, açık anahtar şifrelemesi ile dijital olarak imzalayarak çalışır. Doğru DNSKEY kaydı, bir güven zinciri aracılığıyla doğrulanır. Bu zincir güvenilir üçüncü taraf olan DNS kök bölgesi(DNS root zone) için bir dizi onaylanmış açık anahtarla başlar. Alan sahipleri kendi anahtarlarını oluşturur ve DNS kontrol panellerini kullanarak alan adı kayıt sitelerine yüklerler. Burası da anahtarları secDNS aracılığıyla bölge operatörüne (örn. .com için Verisign) gönderir ve bunları DNS'de imzalar ve yayınlar.

Sorgu Prosedürü

Bir DNS sorgusunun sonuçlarından, güvenlik bilinci olan bir DNS çözümleyici, sorgulanan alan için yetkili ad sunucusunun DNSSEC'i destekleyip desteklemediğini, yanıtın güvenli olup olmadığını ve bir çeşit hata olup olmadığını belirleyebilir. Sorgu prosedürü birçok ISP’ nin ki gibi yinelemeli ad sunucuları ve ana-akım işletim sistemlerinde olan saplama çözücülerden farklıdır. Microsoft Windows ' un kullandığı saplama çözümleyici, Windows Server 2008 R2 ,Windows 7 ' de özellikle geçerliliği olmayan ama DNSSEC uyumlu bir saplama çözümleyicisidir.

Yinelemeli ad sunucuları

Güven modeli zincirini kullanarak, üst etki alanındaki (DNS zone) bir Yetkili İmzalayıcı (DS) kaydı, bir alt etki alanındaki bir DNSKEY kaydını doğrulamak için kullanılabilir; bu, daha sonra alt etki alanlarını doğrulamak için diğer DS kayıtlarını da içerebilir. ISP ad sunucusu gibi özyinelemeli bir çözümleyicinin "www.example.com" alan adının IP adreslerini (A kaydı ve / veya AAAA kayıtları) almak istediğini varsayalım.
1. Güvenlik-tanılı bir çözümleyici, bir DNS sorgusunda "DO" ("DNSSEC OK" ) işaret biti ayarladığında işlem başlar. DO biti, EDNS tarafından tanımlanan genişletilmiş bayrak bitlerinden  olduğundan, tüm DNSSEC işlemleri EDNS'yi desteklemelidir. Ayrıca, DNSSEC işlemlerinin gerektirdiği daha büyük paket boyutlarına izin vermek için EDNS desteği de gereklidir.
2. Çözümleyici normal DNS sorgu işlemi yoluyla bir yanıt aldığında, yanıtın doğru olduğundan emin olmak için kontrol eder. İdeal olarak, güvenlik-tanılı çözümleyici, DNS kökündeki DS ve DNSKEY kayıtlarının doğrulanmasıyla başlayacaktır. Daha sonra, "com" bölgesinde DNSKEY kayıtlarını doğrulamak için kökte bulunan "com" üst düzey etki alanı için DS kayıtlarını kullanır. Buradan itibaren, "com" bölgesinde "example.com" alt alanı için bir DS kaydı olup olmadığına bakar ve eğer varsa, DS kaydı, "example.com" bölgesinde bulunan bir DNSKEY kaydını doğrulamak için kullanır. Son olarak, "www.example.com" için A kayıtlarının cevabında bulunan RRSIG kaydını doğrular.
Yukarıdaki örnek için bazı istisnalar vardır.
İlk olarak, "example.com" DNSSEC' i desteklemiyorsa, yanıtta RRSIG kaydı olmayacaktır ve "com" bölgesinde "example.com" için bir DS kaydı olmayacaktır. "Example.com" için bir DS kaydı varsa, ancak yanıtta RRSIG kaydı yoksa, bir şey yanlıştır ve belki ortadaki adam saldırısı vardır ve DNSSEC bilgilerinin soyulması,A kayıtlarının değiştirilmesi gerçekleşiyor olabilir. Ya da, DO işaret biti sorgusundan veya RRSIG kaydının cevabından sıyrılan yol boyunca, kırılmış ,güvenlikten habersiz bir isim sunucusu olabilir. Ya da bir yapılandırma hatası olabilir.
Sonra eğer "www.example.com" adında bir alan adı bulunmuyor ise, bu durumda cevapta bir RRSIG kaydı yerine, bir NSEC kaydı veya bir NSEC3 kaydı olacaktır. Bunlar, çözümleyicinin bir alan adının mevcut olmadığını kanıtlamasına izin veren "sonraki güvenli" kayıtlardır. NSEC / NSEC3 kayıtlarında, yukarıdaki gibi doğrulanabilen RRSIG kayıtları bulunur.
Son olarak ise "example.com" bölgesi DNSSEC' i uygulamış olabilir, ama "com" bölgesi veya kök bölgesinin uygulamamış olabilir. 15 Temmuz 2010 itibarıyla, DNSSEC' in köke dağıtımı tamamlandı .com etki alanı geçerli güvenlik anahtarlarıyla imzalanmış ve 1 Nisan 2011'de kök bölgesine güvenli temsilci eklenmiştir.

Saplama çözümleyiciler

Saplama çözümleyicileri, DNS çözümleme çalışmasının çoğunu özyinelemeli bir ad sunucusuna yüklemek için yinelemeli sorgu modunu kullanan minimal DNS çözümleyicileridir. Bir saplama çözümleyici, bir isteği yinelemeli ad sunucusuna iletir ve yanıttaki Kimlik Doğrulama Bilgisi (AD) biti, "yinelemeli ad sunucusunun, yanıtın Cevap ve Yetki bölümünün içindeki tüm veriler için imzaları doğrulayıp doğrulayamadığını bulmak için" ipucu "olarak kullanır. Microsoft Windows' un kullandığı saplama çözümleyici , Windows Server 2008 R2 ve Windows 7, özellikle doğrulanmamış, ancak AD-bit uyumlu bir saplama çözümleyicisi kullanmaktadır.
Doğrulayıcı saplama çözümleyicisi, sorgulama iletilerinde Devre Dışı Bırakma (CD) biti'ni ayarlayarak kendi imza doğrulamasını da gerçekleştirebilir. Kendi yinelemeli kimlik doğrulamasını gerçekleştirmek için CD biti kullanır. Böyle bir doğrulanmış saplama çözümleyicisi kullanmak, İnternet hizmet sağlayıcısı veya onlarla bağlantı güvenilir olmasa bile, DNSSEC'yi uygulayan alanlar için istemciye uçtan uca DNS güvenliği sağlar.
Doğrulayıcı olmayan saplama çözümleyicinin DNSSEC hizmetlerine gerçek bir güven yer vermesi için, saplama çözümleyici söz konusu yinelenen ad sunucularına (genellikle Internet hizmet sağlayıcısı tarafından denetlenen) güvenmelidir. Kendisi ile bu isim sunucuları arasındaki iletişim kanalları IPsec, SIG (0) veya TSIG gibi yöntemlerdir. IPsec kullanımı geniş çaplı yayılmamıştır.

Güvenli Mekanizma ve Kimlik Doğrulama Zincirleri

DNS yanıtının doğru olduğunu kanıtlayabilmek için, en az bir anahtar veya DNS dışındaki kaynaklardan doğru olan bir DS kaydı bilmesi gerekir. Bu başlangıç noktaları, güven mekanizmaları olarak bilinir ve genellikle işletim sistemi veya başka bir güvenilen kaynak ile elde edilir. DNSSEC orijinal olarak tasarlandığında, gereken tek güven mekanizmasının DNS kökü için olduğu düşünülüyordu. Kök mekanizmalar ilk defa 15 Temmuz 2010'da yayınlandı.
Kimlik doğrulama zinciri, sorgudaki alan için yetkili ad sunucusuna bir güven mekanizması ile başlayan bir dizi bağlı DS ve DNSKEY kaydıdır. Tam bir kimlik doğrulama zinciri olmadan, bir DNS sorgusunun cevabı güvenli bir şekilde doğrulanamaz.

İmzalar ve Bölge İmzalama

Yeniden gönderme saldırılarını sınırlamak için, önbelleğe alma amacıyla yalnızca normal DNS TTL değerleri değil, bir imzanın geçerliliğini sınırlamak için RRSIG kayıtlarındaki ek zaman damgaları da vardır. Kayıtların gönderildiği zamana göre TTL değerlerinden farklı olarak, zaman damgaları mutlaktır. Bu, güvenlikle ilgili tüm DNS çözümleyicilerinin, birkaç dakika içinde eşit olarak senkronize olan saatlere sahip olması gerektiği anlamına gelir.
Bu zaman damgaları, bir bölgenin düzenli olarak yeniden imzalanması ve ikincil sunuculara yeniden dağıtılması gerektiğini ya da doğrulanmış çözümleyiciler tarafından imzaların reddedileceğini ima eder.

Anahtar Yönetimi

DNSSEC, hem DNSKEY kayıtlarında hem de güven kaynaklarını oluşturmak için diğer kaynaklarda saklanan birçok farklı anahtar içerir.
Yedek anahtarlara izin vermek için, bir anahtar çevrim şeması gereklidir. Genellikle, bu, eski anahtarlara ek olarak, yeni DNSKEY kayıtlarındaki yeni anahtarları ilk kez içerir. Ardından, yaşama değerlerinin eski anahtarların saklanılmasına neden olduğunu varsaymak güvenliyse , bu yeni anahtarlar kullanılabilir. Son olarak zamanı geçmiş eski anahtarları kullanan kayıtları saklamayı varsaymak güvenliyse, eski DNSKEY kayıtları silinebilir. Bu işlem , kökte olduğu gibi, bağlayıcı mekanizmalara(anchor) güvenme anahtarlarındaki gibi şeyler için daha karmaşıktır ,öyle ki , işletim sisteminde bir güncelleştirme gerektirebilir.
DNSKEY kayıtlarındaki anahtarlar iki farklı şey için kullanılabilir ve genellikle her biri için farklı DNSKEY kayıtları kullanılır. İlk olarak, diğer DNSKEY kayıtlarını imzalamak için kullanılan anahtar imzalama anahtarları (KSK) vardır. İkincisi, diğer kayıtları imzalamak için kullanılan bölge imzalama anahtarları (ZSK) vardır. ZSK'ler belirli bir DNS bölgesi tarafından tam kontrol ve kullanım altında olduğundan, daha kolay ve daha sık değiştirilebilirler. Sonuç olarak, ZSK'ler KSK'lerden çok daha kısa olabilir ve RRSIG / DNSKEY kayıtlarının boyutunu azaltırken aynı koruma düzeyini sunmaya devam eder.
Yeni bir KSK oluşturulduğunda, DS kaydı bir üst bölgesine aktarılmalı ve orada yayınlanmalıdır. DS kayıtları, kayıtların boyutunu küçük tutmak için tam anahtar yerine KSK' nın bir mesaj özetini kullanır. Bu, çok büyük olan .com etki alanı gibi bölgeler için yararlıdır. Üst bölgedeki DS anahtarlarını güncelleme yordamı, üst bölgedeki DNSKEY kayıtlarını gerektiren önceki DNSSEC sürümlerinden de daha basittir.

DANE Çalışma Grubu

Adlandırılmış varlıkların DNS tabanlı kimlik doğrulaması (DANE), internet uygulamalarının DNSSEC tabanlı TLS, DTLS, SMTP ve S / MIME ile kriptografik olarak güvenli iletişim kurmasına olanak tanıyan protokoller ve teknikler geliştirme amacıyla bir IETF çalışma grubudur.
Yeni protokoller, açık anahtar altyapısına dayalı geleneksel model için ek güvenceler ve kısıtlamalar getirecektir. Ayrıca, alan sahiplerine üçüncü taraf sertifika yetkililerine atıfta bulunmadan kendileri için sertifikalar vermelerini de sağlar.
Google Chrome 14' te DNSSEC yerleştirilmiş sertifika desteği sağlandı, ancak daha sonra kaldırıldı. Mozilla Firefox için destek, bir eklenti tarafından sağlanırken, yerel destek şu anda üzerinde çalışmaya başlamak için birilerini bekliyor.

Tarihçe

DNS, temel ve ciddi bir internet hizmetidir, ancak 1990 yılında Steve Bellovin sistemin içinde önemli güvenlik açıkları keşfetti. Sistemin güvenlik araştırması başladı ve 1995 yılında yayınladığı makalesinin ardından önemli ölçüde ilerleme katedildi . İlk RFC 2065, 1997 yılında IETF tarafından yayınlandı ve bu spesifikasyonu uygulamaya yönelik ilk girişimler bir düzenlemeye yol açtı, (ve tamamen çalışır olduğuna inanılan) yeni düzenleme 1999 yılında RFC 2535 olarak yayınlandı. RFC 2535'e dayanan DNSSEC'i uygulamak için planlar yapıldı.
Ne yazık ki, IETF RFC 2535 dokümanı, internetin tamamına kadar ölçeklenen  çok önemli sorunlara sahipti, 2001 yılında bu dokümanın büyük ağlar için kullanılamaz olduğu netleşti. Normal işlemlerde DNS sunucuları sık sık sunucu atalarıyla senkronizasyonu yitirir. Bu durum genellikle sistem için bir sorun oluşturmaz, ama DNSSEC etkinleştirildikten sonra, bu senkronize olmayan veriler ciddi bir kendi kendine oluşturulmuş Denial of Service saldırısına neden olabilir. Orijinal DNSSEC, bir alt seviyedeki DNS sunucusu için anahtar değişikliklerinde karmaşık bir altı mesaj protokolüne ve çok sayıda veri aktarımına ihtiyaç duyuyordu (DNS alt seviyedeki sunucuların tüm verilerini üst seviyeye yollaması, bu verilerin imzalaması ve ardından bu imzaların sunucuya tekrar yollanması gerekiyordu). Ayrıca, açık anahtar değişikliklerinin beklenmedik etkileri olabiliyordu. Örneğin, ".com" kayıtlarının tutulduğu sunucu açık anahtarını değiştirirse, bu sunucunun 22 milyon kayıt göndermesi gerekirdi (tutulan tüm kayıtların imzalarının güncelenmesi için). Böylece, RFC 2535'te tanımlandığı gibi DNSSEC tüm internete ölçeklendirilemedi.
IETF, DNSSEC'i RFC 2535'in DNSSEC yaklaşımından farklı kılmak için temel değişiklikler yaparak DNSSEC-bis' i oluşturdu. DNSSEC-bis yaklaşımında, ebeveyn ve çocuk bölgesi arasındaki temsil noktalarında ek bir dolaylılık seviyesi sağlamak için "yetkili imzalı (DS) kaynak kayıtları" kullanır. Yeni yaklaşımda, bir çocuğun ana açık anahtarı değiştiğinde, çocukta bulunan her bir kayıt için altı mesaj göndermesi yerine, sadece bir mesajla yeni açık anahtarını ebeveynine imzalı olarak göndermesi yeterlidir. Böylece oldukça pratik bir şekilde ebeveynler her çocuk için bir ana açık anahtar tutar. Ayrıca ebeveyn ve çocuklar arasında çok büyük boyutta veri değişimini en aza indirger. Bu, kullanıcıların anahtarları doğrularken biraz daha fazla çalışma yapması gerektiği anlamına gelir. Daha spesifik olarak, bir DNS bölgesinin KEY RRset(kaynak kayıtları anahtarı) doğrulanması, RFC 2535'de belirtilen tek imza doğrulama işlemi yerine iki imza doğrulama işlemi gerektirir (diğer RRset türleri için doğrulama imzalarının sayısı üzerinde herhangi bir etkisi yoktur). Bu durum DNSSEC dağıtımını daha pratik hale getirdiğinden, çoğu insan için daha küçük bir fiyat olarak görünür.

NXDOMAIN yanıtları ve NSEC için Kimlik Doğrulama

Kriptografik olarak bir alanın(domain) yokluğunu kanıtlamak, var olmayan bir alan için her sorguya yanıtı imzalamayı gerektirir. Bu, anahtarları çevrimiçi olarak saklayan çevrimiçi imzalama sunucuları için bir sorun değildir. Ancak DNSSEC, kayıt imzalamak için çevrimdışı bilgisayarları kullanacak şekilde tasarlanmıştır; böylece bölge imzalama anahtarları soğuk depoda tutulabilir. Bu durum, varolan her ana makine(hostname) adı sorgusuna bir yanıtın önceden üretilmesi mümkün olmadığından mevcut olmayan alanlara yönelik sorgulara yanıtları doğrulamaya çalışırken sorun oluşturur.
Bu probleme ilk çözüm, bir bölgedeki her alan çifti için NSEC kaydı oluşturmak şeklindeydi. Böylece, bir kullanıcı var olmayan  k.example.com 'daki bir kaydı sorguladığında, sunucu a.example.com ve z.example.com arasında hiçbir şeyin bulunmadığını belirten bir NSEC kaydıyla yanıt verir. Ancak bu, bölge hakkında daha fazla bilgiyi, gerçek alanlarının varlığını sızdırdığı için, geleneksel kimliği doğrulanmamış NXDOMAIN hatalarından daha fazla veri sızdırmaktadır.
NSEC3 kayıtları (RFC 5155) doğrudan isimleri listelemek yerine alternatif olarak isimlerin özetleriyle(hash fonksiyonu) listelemek için oluşturulmuştur. Zaman içinde, GPU'lar ve özel donanımlar kullanılarak özet fonksiyonundaki ilerlemeler, NSEC3 yanıtlarının çevrimdışı sözlük saldırıları ile kolaylıkla aşılabileceği anlamına geliyordu. NSEC5, yetkili sunucuların bölgeyi değiştirmek üzere kullanacağı özel bir anahtar bulundurmadan NSEC yanıtlarını imzalamasına izin vermesini önermiştir. Böylece bir NSEC5KEY'in çalınması sadece bir bölgenin daha kolay sayılmasına neden olacaktır.
Protokolün dağınık evrimi ve geriye dönük uyumluluğu koruma isteğinden dolayı, çevrimiçi DNSSEC imzalama sunucuları, doğrudan bir varlığının reddini(denial of existence) doğrulamak yerine bir "beyaz yalan" döndürüyor. RFC 4470 'deki teknik ana hat, etki alanı çiftlerinin istenen etki alanını çevrelediği bir NSEC kaydı döndürür. Örneğin, k.example.com için yapılan bir istek, j.example.com ve l.example.com alan adlarının arasında hiçbir şeyin bulunmadığını kanıtlayan bir NSEC kaydı dönecektir. CloudFlare, "kayıt var, ancak istenen kayıt türü bulunmuyor" mesajıyla, önemli ölçüde azaltılmış veri yükü boyutuna sahip olduğunu kanıtlayan başka bir yaklaşıma öncülük etti.

Dağıtım

İnternet hassas bir altyapıya sahiptir, ancak çalışması güvenli olmayan DNS'ye bağlıdır. Bu nedenle, DNS'yi güvence altına almak için güçlü bir teşvik vardır ve DNSSEC'i kullanmak bu çabanın temel bir parçası olarak kabul edilir. Örneğin, ABD Ulusal Siber Güvenlik Stratejisi özellikle DNS'nin güvenliğini sağlamanın gerektiğine değinmiştir. DNSSEC'in geniş çaplı dağıtımı, e-posta adresleri için güvenli anahtar dağıtımı gibi diğer birçok güvenlik problemini de çözebilir.
Büyük ölçekli ağlarda DNSSEC dağıtımı da oldukça zorlayıcıdır. Ozment ve Schechter, DNSSEC'in (ve diğer teknolojilerin) bir "bootstrap problemine" sahip olduğunu gözlemlemiştir. Yani kullanıcılar genellikle anında bir fayda elde ettikleri zaman bir teknolojiyi kullanırlar, ama herhangi bir kullanıcı bu teknoloji için yapacağı harcamadan daha büyük bir kazanç elde etmeden önce minimum düzeyde bir dağıtım gerekiyorsa (DNSSEC için olduğu gibi), dağıtımı zordur. DNSSEC, bir DNS hiyerarşisinin herhangi bir düzeyinde uygulanabilir, ancak diğerlerinin benimsemesini istemeden önce bir bölgede yaygın olarak bulunmalıdır. DNS sunucuları, DNSSEC'i destekleyen bir yazılımla güncelleştirilmeli, DNSSEC verileri oluşturulmalı ve DNS bölgesi verilerine eklenmelidir. Bir TCP/IP kullanan istemcinin, DNSSEC'in özelliklerini kullanabilmesi için DNS çözümleyicisinin (istemci) güncelleştirilmesi gerekir. Ek olarak, herhangi bir çözümleyici, DNSSEC kullanmaya başlamadan önce güvenebileceği en az bir ortak anahtarı olmalıdır veya anahtar elde etme yoluna sahip olmalıdır.
DNSSEC uygulaması bazı DNS sunucularına önemli yükler ekleyebilir. Ortak DNSSEC imzalı yanıtlar, 512 baytlık varsayılan UDP paketi boyutundan çok daha büyüktür. Teoride bu, birden fazla IP parçası kullanılarak çözülebilir, ama bu alandaki birçok "middlebox", bunları doğru şekilde çözemez. Bu UDP yerine TCP kullanılmasına yol açar. Yine de birçok TCP uygulaması, her bir TCP bağlantısı için çok büyük miktarda veri saklar; ağır yüklü sunucular, çok sayıda (ve muhtemelen sahte) DNSSEC isteklerine yanıt vermeye çalışarak kaynakların tükenmesine neden olabilir. Bu yüklemeyi azaltmak için TCP Çerez İşlemleri gibi bazı protokol uzantıları geliştirilmiştir. Bu zorlukları çözmek ve DNSSEC'i yaymak için önemli çabalar devam ediyor, çünkü internet birçok organizasyon için hayati önem taşıyor.

Erken dağıtımlar

İnternet ülke kodu üst düzey alan adı seviyesinde DNSSEC'i ilk kullananlar Brezilya (.br), Bulgaristan (.bg), Çek Cumhuriyeti (.cz), Namibya (.na) Puerto Rico (.pr) ve İsveç (.se), oldu ; Internet Assigned Numbers Authority (IANA) tarafından yetkilendirilmiş RIPE NCC'ye tüm geriye doğru arama kayıtlarını (in-addr.arpa) imzalattı. American Registry for Internet Numbers (ARIN)'a da ters bölgeleri imzalattı. Şubat 2007 İsveç'te Tele Danmark Communications(TDC), bu özelliği müşterilerine sunmaya başlayan ilk ISP oldu.
IANA, Haziran 2007'de örnek imzalı kökü test etti. Kökün üretiminin imzalanmasından önce bu süre zarfında, birkaç alternatif güven kaynağı da vardı. IKS Jena, 19 Ocak 2006'da bir tanesini uygulamaya koydu, İnternet Sistemleri Konsorsiyumu, aynı yılın 27 Mart tarihinde bir başkasının tanıtımı yaptı., ICANN ise17 Şubat 2009'da üçüncüsünü duyurdu.
Çok çeşitli pilot projeler ve deneyler yapıldı. dnssec.net bu tür projelerin bir listesini tutar. Ayrıca, Dünya Çapında DNSSEC Dağıtımının bir Google Haritası Dünya Çapında DNSSEC Dağıtımının bir Google Haritası var.
2 Haziran 2009 tarihinde, Public Interest Registry .org bölgesini imzaladı. PKR 26 Eylül 2008'de, ilk olarak büyük kayıt şirketlerinin ("arkadaş ve aile") güçlü bir çalışma ilişkisine sahip olduğu ilk aşamada, "erken 2009" dan başlayarak, alan adlarını imzalayabilecek ilk kişi olacağını açıklamıştır. 23 Haziran 2010'da, 13 kayıt memuru, .ORG alanları için DNSSEC kayıtları sundular.
VeriSign, .com ve .net alan adlarının NSEC3 denemesi amacıyla kayıt olması için bir pilot proje yürütmüştür. 24 Şubat 2009'da, DNSSEC'i 24 ay içinde tüm üst seviye alanlarına (.com, .net, .tr vb.) dağıtacağını açıkladılar ve aynı yılın 16 Kasım'ında .com ve .net alanları için, uygulanmasının teknik gecikmelerden sonra, 2011'in ilk çeyreğinde imzalanacağını belirttiler. Bu hedefe tam zamanlanan sürede ulaşıldı ve Verisign'ın DNSSEC Başkan Yardımcısı Matt Larson, DNSSEC'i ilerletme rolüyle 2011'de InfoWorld'ün Teknoloji Liderlik Ödülü'nü kazandı.

Planlama

Eylül 2008'de ICANN ve VeriSign ayrı olarak birer uygulama önerisini yayınladı ve Ekim ayında Ulusal Telekomünikasyon ve Bilgi İdaresi (NTIA) kamuoyuna yorum istedi. Alınan yorumların son dağıtım planının tasarımını etkileyip etkilemediği belirsizdir.
Ulusal Standartlar ve Teknoloji Enstitüsü (NIST), 3 Haziran 2009 tarihinde, ICANN,   VeriSign ve NTIA ile birlikte 2009'un sonuna kadar kök imzalamayı planladığını duyurdu.
6 Ekim 2009'da, 59. RIPE Konferans toplantısında ICANN ve VeriSign, DNSSEC'in kök bölgesi içinde dağıtımı için planlanan dağıtım zaman çizelgesini duyurdu. Toplantıda, 1 Temmuz 2009 tarihinden başlayarak ayda bir kök ad sunucusuna dağıtılacağını açıkladı, 1 Temmuz 2010'da DNSSEC imzalı bir bölgeye hizmet veren son kök alan adı sunucusu bir kök bölgesi RSA / SHA256 DNSKEY ile imzalanacaktır. Artırımlı dağıtım süresi boyunca kök bölge, Deliberately Unvalidatable Root Zone (DURZ) hizmet edecektir ve 1 Temmuz 2010'da kadar dağıtılacak olan son DNSKEY kaydına kadar dağıtılmayacaktır. Bu, bölge kullanımını imzalamak için kullanılan anahtarların kasten doğrulanamayacağı anlamına gelir; bu dağıtımın nedeni, DNSSEC kaynak kayıtlarını isteyen sorgulara yapılan daha büyük yanıtların neden olduğu trafik modellerindeki değişiklikleri izlemek oldu.
.org .org üst düzey alan adı Haziran 2010'da DNSSEC ile imzalandı bunu 2010, 2011 ve sonrasında .com, .net, ve .edu takip etti. Ülke kodu üst düzey alan adları, Mayıs 2010’dan itibaren anahtarları depolayabildi. Kasım 2011 itibarıyla, üst düzey alanların %25'inden fazlası DNSSEC ile imzalanmıştır.

Uygulama

25 Ocak 2010'da, L (ell) kök sunucusu DURZ hizmetini vermeye başladı. Bölge, RFC 5702'de tanımlandığı gibi RSA algoritması kullanılarak oluşturulan bir SHA-2 (SHA-256) karma imzasını kullanır. Mayıs 2010 itibarıyla, 13 kök sunucunun hepsi DURZ hizmeti vermeye başladı. 15 Temmuz 2010'da, ilk tam kök üretimli DNSSEC kök bölgesi, SOA 2010071501 seri numarasıyla imzalandı. Kök güvenleri IANA'dan temin edilebilir.

TLD düzeyinde dağıtım

Kökün altında, tam DNSSEC dağıtımının gerçekleştirilmesi için imzalanması gereken büyük bir üst düzey alan adı(top level domain) kümesi bulunur. Internet üst düzey alan adlarının listesi, mevcut üst düzey alan adlarından hangilerinin imzalandığına ve köke bağlı olduğuna ilişkin ayrıntılar sağlar.

DNSSEC Denetleme Doğrulaması

2006 Mart ayında, Internet Systems Consortium(ISC), DNSSEC Denetleme Doğrulaması(DNSSEC Lookaside Validation - DLV) kayıt defterini tanıttı. DLV'nin amacı, bir kök güven istasyonu olmadığında DNSSEC'in dağıtımını kolaylaştırmaktı. Bu durumda bir doğrulayıcının, DNS’nin imzalı altkümelerine karşılık gelen çok sayıda güven bağı oluşturmak zorunda kalacağı düşünüldü. DLV'nin amacı, doğrulayıcıların güvenilir bir üçüncü tarafa bir güven istasyonunu yönetmeye gerek kalmamasını sağlamaktı. DLV kayıt defteri, kendi listelerini sürdürme çalışmalarını yineleyen her bir doğrulayıcı yerine, güven istasyonlarının merkezi bir listesini tutmaktadır.
DLV kullanmak için, bir DLV bölgesi için bir güven çapası ile yapılandırılmış Bind veya Unbound gibi bir destekleyici gereklidir. Bu bölge DLV kayıtlarını içerir; bu kayıtlar, DS kayıtlarıyla tam olarak aynı biçime sahiptir, ancak bir temsilci alt bölgeye başvurmak yerine, DNS ağacında başka bir bölgeye başvururlar. Doğrulayıcı, kökten RRset'e bir güven zinciri bulamadığında, tekrar kontrol etmeye çalışır, alternatif bir güven zinciri sağlayabilen bir DLV kaydını arar.
DNSSEC yetkilerini desteklemeyen üst düzey alan adları veya kayıt şirketleri gibi güven zincirindeki boşluklar, alt düzey etki alanlarındaki yöneticilerin DLV'yi, DNS verilerinin, DLV'yi kullanmak üzere yapılandırılan çözücüler tarafından doğrulanmasını sağlamak için kullanabilir. Bu, DNSSEC dağıtımını doğru bir şekilde desteklemek için kayıt memurları ve TLD kayıtlarından baskı alarak DNSSEC dağıtımını engelleyebilirdi. DLV ayrıca DNSSEC doğrulaması için daha fazla katılımcı ve kod yolu ekleyerek karmaşıklığı artırır. Bu durum daha fazla belirsizliği ortaya çıkarmaktadır çünkü doğrulayıcı çözümleyicilerin tümü DLV'yi ya desteklememekte ya da kullanmamaktadır. Bir çözümleyiciyi sorgulayan istemciler, farklı bir doğrulayıcı çözümleyici kullanan istemciler tarafından desteklenmezken, DLV doğrulanmış yanıtları alabilir.
DLV yaygın olarak kullanılamamıştır. Mayıs 2015'e kadar, ISC'nin DLV kaydı toplam 5.000 alan adının altında ve bunların %10'dan daha azında imzasız bir ana alan adı vardı. ISC, DLV kaydını iptal etme planını açıkladı. DLV desteğinin BIND'den ve doğrulama çözümleyicilerinin diğer uygulamalarından kaldırılacağı henüz belli değildir.

ABD Federal Hükümeti tarafından DNSSEC dağıtım girişimi

ABD İç Güvenlik Bakanlığı (DHS) Bilim ve Teknoloji Müdürlüğü, "DNSSEC Dağıtım Girişimi"ni destekliyor. Bu girişim, tüm sektörleri, internet ve adlandırma altyapısının güvenliğini artıracak güvenlik tedbirlerini gönüllü olarak benimsemeye teşvik ediyor, ayrıca kamu ve özel sektördeki birçok ülke ve örgütü içeren küresel, işbirlikçi çabaların bir parçası. DHS ayrıca, DNSSEC'i geliştirmek ve ABD federal hükümetine dağıtılmak için çaba sarfediyor.
30 Mart 2007'de ABD Dışişleri Bakanlığı Güvenlik Dairesi Başkanlığı'nın “DNS kökenini ABD hükümetinin elinde sağlam bir şekilde imzalamanın anahtarı olması” önerildi. Ancak toplantı odasında ABD Hükümeti yetkililerinden kimse yoktu ve makaleyi başlatan yorum başka bir taraftan yapılmıştı. DHS daha sonra başkalarının ABD Hükümeti'nin böyle bir öneride bulunmuş olduğu gibi yanlış bir sonuca vardığına inandıklarını şöyle açıkladı: “ABD İç Güvenlik Bakanlığı, DNSSEC'i uygulamak için teknik bir planın geliştirilmesini finanse ediyor ve son olarak Ekim ayında, ilk taslağını yorumlar için uluslararası uzmanların uzun bir listesine dağıttı. Taslak, temel olarak bir devlet kurumuna veya yükleniciye kaynayan Kök Bölge Anahtarının sahibi veya operatörü olabilmeleri için bir dizi seçenek ortaya koymaktadır. "Bu belgede hiçbir yerde Kök Anahtar Operatörünün kimliği ile ilgili herhangi bir öneride bulunmuyoruz," şeklinde Homeland Security'nin Siber Güvenlik Araştırma ve Geliştirme Müdürü Maughan açıklama yaptı.

ABD Federal Hükümeti'nde DNSSEC dağıtımı

Ulusal Standartlar ve Teknoloji Enstitüsü (NIST), 16 Mayıs 2006 tarihinde NSS Özel Yayını 800-81 Güvenli Alan Adı Sistemi (DNS) Dağıtım Kılavuzu'nu yayınladı ve DNSSEC'in nasıl dağıtılacağı konusunda rehberlik etti. NIST, NIST SP800-53-R1'deki yeni DNSSEC Federal Bilgi Güvenliği Yönetimi Yasası (FISMA) gerekliliklerini yayınlamayı planladı ve bu dağıtım kılavuzuna başvurdu. ABD ajansları, NIST SP800-53-R1'in bu yeni FISMA gerekliliklerini yerine getirmeleri için bir yıl sonra yayınlanacaktı. Ancak, NSEC3 zamanında tamamlanamadı. NIST, mümkün olduğu bilinen ancak doğru bir şekilde dağıtılması zor olan ve yukarıda belirtilen güvenlik zaaflarına sahip olan bölünmüş alan adlarını kullanmayı önerdi.
22 Ağustos 2008'de, Yönetim ve Bütçe Bürosu (OMB), ABD Federal Ajanslarının DNSSEC'yi .gov siteleri arasında dağıtmasını gerektiren bir bildiri yayınladı; .gov kökü Ocak 2009'a kadar imzalanmış olmalı ve .gov altındaki tüm alt alanların Aralık 2009'a kadar imzalanması gerekir. Bildiri, .gov sitelerine odaklanırken, ABD Savunma Bilgi Sistemleri Dairesi, aynı zamanda .mil (ABD askeri) alanında da OMB DNSSEC gereksinimlerini karşılamayı planladığını açıkladı. NetworkWorld'den Carolyn Duffy Marsan, DNSSEC'in "yaygın bir şekilde dağıtılmadığını, çünkü klasik bir tavuk ve yumurta ikileminden acı çektiğini ve OMB'nin görevinin yumurtanın çatlamasına neden olmak olduğunu" söyledi.

Çözümleyicilerin dağıtımı

Birkaç ISP, DNSSEC doğrulayan DNS özyineli çözümleyicilerini dağıtmaya başladı. Comcast, Amerika Birleşik Devletleri'nde 18 Ekim 2010'da yapacağını açıkladı ve 11 Ocak 2012'de dağıtımını tamamlayan ilk büyük ISP oldu.
APNIC'de yapılan bir araştırmaya göre, DNSSEC doğrulama işlemini gerçekleştiren DNS çözümleyicilerini kullanan istemcilerin oranı, Mayıs 2013'te %8,3'e yükseldi. yarım müşterilerin edildi kullanarak Google genel DNS çözümleyici.
Eylül 2015'te Verisign, halka açık ücretsiz DNS çözümleme hizmetini duyurdu ve basında  belirtilmemiş olmasına rağmen, DNSSEC doğrulaması hizmetini de gerçekleştiriyor.
2016 yılının başında, APNIC'in araştırmasına göre, DNSSEC doğrulama işlemini gerçekleştiren DNS çözümleyicilerini kullanan müşterilerin oranının yaklaşık %15'e çıkmış olduğunu gösterdi.

Google Genel DNS

Google Genel DNS, DNSSEC'yi tamamen destekleyen, ücretsiz olarak sağlanan bir genel DNS hizmetidir.
2009'daki lansmanında Google Genel DNS, DNSSEC'i desteklemiyordu. RRSIG kayıtları sorgulanabiliyor, ancak AD bayrağı (sunucunun, tüm veriler için imzaları doğrulayabilmesi anlamına gelen kimliği doğrulanmış veri) asla ayarlanamıyordu.
28 Ocak 2013'te, Google'ın DNS sunucuları, DNSSEC doğrulama bilgileri sağlamaya sessizce başladı, ancak yalnızca istemcinin kendi sorgusunda DNSSEC OK (DO) işaretini açıkça belirlemesi durumunda çalışıyordu.
6 Mayıs 2013'te, Google Genel DNS, DNSSEC doğrulamasını varsayılan olarak etkinleştirdi; istemciler açıkça belirtmediği sürece tüm sorguların doğrulanacağı anlamına gelir.

Sorunlar

Microsoft Exchange 2013'te MX kayıt aramasını kırdığı ve daha büyük olan #550 4.4.7QUEUE'nun neden olduğu bilinmektedir.