DNSSEC
Genel bakış

Alan Adı Sistemi (DNS), özgün tasarımında hiçbir güvenlik önlemi içermez. Ölçeklendirilebilir dağıtılmış bir sistem olarak tasarlanmıştır. Alan Adı Sistemi Güvenlik Eklentileri (DNSSEC) geriye dönük uyumluluğu korurken, güvenlik önlemleri eklemeye çalışır. RFC 3833, DNS ile ilgili bilinen bazı tehditleri ve DNSSEC'in bu tehditlere nasıl yanıt verdiğini belgelemektedir.
DNSSEC, sahte veya manipüle edilmiş DNS verilerinden (DNS önbellek zehirlenmesi ile oluşturulan veriler gibi), uygulamaları korumak için (ve bu uygulamalara hizmet eden çözümleyicileri önbelleğe almak) kullanılacak şekilde tasarlanmıştır. DNSSEC korumasıyla gelen tüm cevaplar dijital olarak imzalanmıştır. Bir DNS çözümleyici, dijital imzayı kontrol ederek, bilgilerin alan sahibi tarafından yayınlanan ve yetkili bir DNS sunucusunda sunulan bilgilerle aynı (yani, değiştirilmemiş ve tam) olup olmadığını kontrol edebilir. IP adreslerini korumak birçok kullanıcı için en öncelikli endişe olsa da, DNSSEC, DNS'de yayınlanan tüm veriyi koruyabilir, metin kayıtları (TXT) gibi, e-posta değişim kayıtları (MX) gibi ve DNS'de saklanan kriptografik sertifikalara başvuru yayınlayan diğer güvenlik sistemlerini saklamak için de kullanılabilir (örneğin: Sertifika Kayıtları (CERT records, RFC 4398), SSH parmak izleri (SSHFP, RFC 4255), IPSec açık anahtarları (IPSECKEY, RFC 4025) ve TLS Trust Anchors (TLSA, RFC 6698).
DNSSEC verinin gizliliğini sağlamaz, bütün DNSSEC cevapları doğrulanmıştır ancak şifrelenmez. DNSSEC, DoS ataklarına karşı doğrudan korumaz, ancak dolaylı olarak bazı faydalar sağlar (çünkü imza kontrolü güvenilir olmayan tarafların kullanımına izin verir, bu ancak DNS sunucusu kendinden imzalı bir sertifika kullanıyorsa doğrudur, internet-bağlantılı DNS sunucuları için önerilmez).
DNS sunucuları arasında gönderilen toplu verileri (DNS zone transferi gibi) güvenli hale getirmek için diğer standartlar (DNSSEC olmayan) kullanılır. IETF RFC 4367 ‘ de dökümente edildiği gibi, bazı kullanıcılar ve geliştiriciler DNS adları hakkında yanlış tahminler yapmaktadır, örneğin bir şirketin genel adı artı “.com” her zaman onun alan adıdır gibi. DNSSEC yanlış denemelere karşı korumaz, sadece verinin gerçekte alan sahibinden alındığını veya uygun olmadığını doğrulayabilir.
DNSSEC özellikleri (DNSSEC-bis olarak adlandırılır) geçerli DNSSEC protokolünü detaylı olarak açıklar. Bakınız: RFC 4033, RFC 4034, and [rfc:4035 RFC 4035.] Bu yeni RFC‘lerin yayınlanmasıyla (Mart 2005), daha önceki RFC (RFC 2535) geçmişte kalmıştır.
İnternetin bir bütün olarak güvenceye alınması için DNS' in güvence altına alınmasının kritik öneme sahip olduğuna inanılmaktadır, ancak DNSSEC' in yayılması özellikle bazı zorluklar ile aksamıştır (22 Ocak 2010'dan beri):
• İnternet boyutuna göre ölçeklenebilen geriye-yönelik uyumlu bir standart tasarlama ihtiyacı,
• İstenildiğinde, "bölge (DNS zone) ayrıntılı listesi" koruması,
• Çok geniş alanda yayılmış DNS sunucuları ve çözümleyicileri (istemciler) genelinde DNSSEC uygulamalarının yayılması,
• Üst seviye alan kök anahtarlarına kimin sahip olması gerektiği konusunda uygulayıcılar arasındaki anlaşmazlık,
• DNSSEC ve DNSSEC yayılımının algılanan zorluğunu, karmaşıklığını aşmak .
Microsoft Windows'un kullandığı saplama çözümleyici; Özellikle Windows 7 ve üstü, geçerliliği olmayan (ancak DNSSEC uyumlu) bir türdür. DNSSEC hizmetlerine gerçek bir güvenin yerleştirilmesi için, bu saplama çözümleyici, söz konusu yinelemeli ad sunucularına (genellikle ISP tarafından denetlenir) ve kendisi ile bu ad sunucuları arasındaki iletişim kanallarına IPsec(çok fazla yayılmamış olanın kullanımıyla), SIG(0) veya TSIG gibi yöntemler kullanarak güvenmelidir.