ortadaki adam saldırısı vardır ve DNSSEC bilgilerinin soyulması,A kayıtlarının değiştirilmesi gerçekleşiyor olabilir. Ya da, DO işaret biti sorgusundan veya RRSIG kaydının cevabından sıyrılan yol boyunca, kırılmış ,güvenlikten habersiz bir isim sunucusu olabilir. Ya da bir yapılandırma hatası olabilir.

Sonra eğer "www.example.com" adında bir alan adı bulunmuyor ise, bu durumda cevapta bir RRSIG kaydı yerine, bir NSEC kaydı veya bir NSEC3 kaydı olacaktır. Bunlar, çözümleyicinin bir alan adının mevcut olmadığını kanıtlamasına izin veren "sonraki güvenli" kayıtlardır. NSEC / NSEC3 kayıtlarında, yukarıdaki gibi doğrulanabilen RRSIG kayıtları bulunur.

Son olarak ise "example.com" bölgesi DNSSEC' i uygulamış olabilir, ama "com" bölgesi veya kök bölgesinin uygulamamış olabilir. 15 Temmuz 2010 itibarıyla, DNSSEC' in köke dağıtımı tamamlandı. .com etki alanı geçerli güvenlik anahtarlarıyla imzalanmış ve 1 Nisan 2011'de kök bölgesine güvenli temsilci eklenmiştir.

Saplama çözümleyicileri, DNS çözümleme çalışmasının çoğunu özyinelemeli bir ad sunucusuna yüklemek için yinelemeli sorgu modunu kullanan minimal DNS çözümleyicileridir. Bir saplama çözümleyici, bir isteği yinelemeli ad sunucusuna iletir ve yanıttaki Kimlik Doğrulama Bilgisi (AD) biti, "yinelemeli ad sunucusunun, yanıtın Cevap ve Yetki bölümünün içindeki tüm veriler için imzaları doğrulayıp doğrulayamadığını bulmak için" ipucu "olarak kullanır. Microsoft Windows' un kullandığı saplama çözümleyici , Windows Server 2008 R2 ve Windows 7, özellikle doğrulanmamış, ancak AD-bit uyumlu bir saplama çözümleyicisi kullanmaktadır.

Doğrulayıcı saplama çözümleyicisi, sorgulama iletilerinde Devre Dışı Bırakma (CD) biti'ni ayarlayarak kendi imza doğrulamasını da gerçekleştirebilir. Kendi yinelemeli kimlik doğrulamasını gerçekleştirmek için CD biti kullanır. Böyle bir doğrulanmış saplama çözümleyicisi kullanmak, İnternet hizmet sağlayıcısı veya onlarla bağlantı güvenilir olmasa bile, DNSSEC'yi uygulayan alanlar için istemciye uçtan uca DNS güvenliği sağlar.

Doğrulayıcı olmayan saplama çözümleyicinin DNSSEC hizmetlerine gerçek bir güven yer vermesi için, saplama çözümleyici söz konusu yinelenen ad sunucularına (genellikle Internet hizmet sağlayıcısı tarafından denetlenen) güvenmelidir. Kendisi ile bu isim sunucuları arasındaki iletişim kanalları IPsec, SIG (0) veya TSIG gibi yöntemlerdir. IPsec kullanımı geniş çaplı yayılmamıştır.

DNS yanıtının doğru olduğunu kanıtlayabilmek için, en az bir anahtar veya DNS dışındaki kaynaklardan doğru olan bir DS kaydı bilmesi gerekir. Bu başlangıç noktaları, güven mekanizmaları olarak bilinir ve genellikle işletim sistemi veya başka bir güvenilen kaynak ile elde edilir. DNSSEC orijinal olarak tasarlandığında, gereken tek güven mekanizmasının DNS kökü için olduğu düşünülüyordu. Kök mekanizmalar ilk defa 15 Temmuz 2010'da yayınlandı.

Kimlik doğrulama zinciri, sorgudaki alan için yetkili ad sunucusuna bir güven mekanizması ile başlayan bir dizi bağlı DS ve DNSKEY kaydıdır. Tam bir kimlik doğrulama zinciri olmadan, bir DNS sorgusunun cevabı güvenli bir şekilde doğrulanamaz.

Yeniden gönderme saldırılarını sınırlamak için, önbelleğe alma amacıyla yalnızca normal DNS TTL değerleri değil, bir imzanın geçerliliğini sınırlamak için RRSIG kayıtlarındaki ek zaman damgaları da vardır. Kayıtların gönderildiği zamana göre TTL değerlerinden farklı olarak, zaman damgaları mutlaktır. Bu, güvenlikle ilgili tüm DNS çözümleyicilerinin, birkaç dakika içinde eşit olarak senkronize olan saatlere sahip olması gerektiği anlamına gelir.

Bu zaman damgaları, bir bölgenin düzenli olarak yeniden imzalanması ve ikincil sunuculara yeniden dağıtılması gerektiğini ya da doğrulanmış çözümleyiciler tarafından imzaların reddedileceğini ima eder.

DNSSEC, hem DNSKEY kayıtlarında hem de güven kaynaklarını oluşturmak için diğer kaynaklarda saklanan birçok farklı anahtar içerir.

Yedek anahtarlara izin vermek için, bir anahtar çevrim şeması gereklidir. Genellikle, bu, eski anahtarlara ek olarak, yeni DNSKEY kayıtlarındaki yeni anahtarları ilk kez içerir. Ardından, yaşama değerlerinin eski anahtarların saklanılmasına neden olduğunu varsaymak güvenliyse , bu yeni anahtarlar kullanılabilir. Son olarak zamanı geçmiş eski anahtarları kullanan kayıtları saklamayı varsaymak güvenliyse, eski DNSKEY kayıtları silinebilir. Bu işlem , kökte olduğu gibi, bağlayıcı mekanizmalara(anchor) güvenme anahtarlarındaki gibi şeyler için daha karmaşıktır ,öyle ki , işletim sisteminde bir güncelleştirme gerektirebilir.

DNSKEY kayıtlarındaki anahtarlar iki farklı şey için kullanılabilir ve genellikle her biri için farklı DNSKEY kayıtları kullanılır. İlk olarak, diğer DNSKEY kayıtlarını imzalamak için kullanılan anahtar imzalama anahtarları (KSK) vardır. İkincisi, diğer kayıtları imzalamak için kullanılan bölge imzalama anahtarları (ZSK) vardır. ZSK'ler belirli bir DNS bölgesi tarafından tam kontrol ve kullanım altında olduğundan, daha kolay ve daha sık değiştirilebilirler. Sonuç olarak, ZSK'ler KSK'lerden çok daha kısa olabilir ve RRSIG / DNSKEY kayıtlarının boyutunu azaltırken aynı koruma düzeyini sunmaya devam eder.

Yeni bir KSK oluşturulduğunda, DS kaydı bir üst bölgesine aktarılmalı ve orada yayınlanmalıdır. DS kayıtları, kayıtların boyutunu küçük tutmak için tam anahtar yerine KSK' nın bir mesaj özetini kullanır. Bu, çok büyük olan .com etki alanı gibi bölgeler için yararlıdır. Üst bölgedeki DS anahtarlarını güncelleme yordamı, üst bölgedeki DNSKEY kayıtlarını gerektiren önceki DNSSEC sürümlerinden de daha basittir.

Adlandırılmış varlıkların DNS tabanlı kimlik doğrulaması (DANE), internet uygulamalarının DNSSEC tabanlı TLS, DTLS, SMTP ve S / MIME ile kriptografik olarak güvenli iletişim kurmasına olanak tanıyan protokoller ve teknikler geliştirme amacıyla bir IETF çalışma grubudur.

Yeni protokoller, açık anahtar altyapısına dayalı geleneksel model için ek güvenceler ve kısıtlamalar getirecektir. Ayrıca, alan sahiplerine üçüncü taraf sertifika yetkililerine atıfta bulunmadan kendileri için sertifikalar vermelerini de sağlar.

Google Chrome 14' te DNSSEC yerleştirilmiş sertifika desteği sağlandı, ancak daha sonra kaldırıldı. Mozilla Firefox için destek, bir eklenti tarafından sağlanırken, yerel destek şu anda üzerinde çalışmaya başlamak için birilerini bekliyor.

DNS, temel ve ciddi bir internet hizmetidir, ancak 1990 yılında Steve Bellovin sistemin içinde önemli güvenlik açıkları keşfetti. Sistemin güvenlik araştırması başladı ve 1995 yılında yayınladığı makalesinin ardından önemli ölçüde ilerleme katedildi . İlk RFC 2065, 1997 yılında IETF tarafından yayınlandı ve bu spesifikasyonu uygulamaya yönelik ilk girişimler bir düzenlemeye yol açtı, (ve tamamen çalışır olduğuna inanılan) yeni düzenleme 1999 yılında RFC 2535 olarak yayınlandı. RFC 2535'e dayanan DNSSEC'i uygulamak için planlar yapıldı.

Ne yazık ki, IETF RFC 2535 dokümanı, internetin tamamına kadar ölçeklenen çok önemli sorunlara sahipti, 2001 yılında bu dokümanın büyük ağlar için kullanılamaz olduğu netleşti. Normal işlemlerde DNS sunucuları sık sık sunucu atalarıyla senkronizasyonu yitirir. Bu durum genellikle sistem için bir sorun oluşturmaz, ama DNSSEC etkinleştirildikten sonra, bu senkronize olmayan veriler ciddi bir kendi kendine oluşturulmuş Denial of Service saldırısına neden olabilir. Orijinal DNSSEC, bir alt seviyedeki DNS sunucusu için anahtar değişikliklerinde karmaşık bir altı mesaj protokolüne ve çok sayıda veri aktarımına ihtiyaç duyuyordu (DNS alt seviyedeki sunucuların tüm verilerini üst seviyeye yollaması, bu verilerin imzalaması ve ardından bu imzaların sunucuya tekrar yollanması gerekiyordu). Ayrıca, açık anahtar değişikliklerinin beklenmedik etkileri olabiliyordu. Örneğin, ".com" kayıtlarının tutulduğu sunucu açık anahtarını değiştirirse, bu sunucunun 22 milyon kayıt göndermesi gerekirdi (tutulan tüm kayıtların imzalarının güncelenmesi için). Böylece, RFC 2535'te tanımlandığı gibi DNSSEC tüm internete ölçeklendirilemedi.

IETF, DNSSEC'i RFC 2535'in DNSSEC yaklaşımından farklı kılmak için temel değişiklikler yaparak "DNSSEC-bis"' i oluşturdu. DNSSEC-bis yaklaşımında, ebeveyn ve çocuk bölgesi arasındaki temsil noktalarında ek bir dolaylılık seviyesi sağlamak için "yetkili imzalı (DS) kaynak kayıtları" kullanır. Yeni yaklaşımda, bir çocuğun ana açık anahtarı değiştiğinde, çocukta bulunan her bir kayıt için altı mesaj göndermesi yerine, sadece bir mesajla yeni açık anahtarını ebeveynine imzalı olarak göndermesi yeterlidir. Böylece oldukça pratik bir şekilde ebeveynler her çocuk için bir ana açık anahtar tutar. Ayrıca ebeveyn ve çocuklar arasında çok büyük boyutta veri değişimini en aza indirger. Bu, kullanıcıların anahtarları doğrularken biraz daha fazla çalışma yapması gerektiği anlamına gelir. Daha spesifik olarak, bir DNS bölgesinin KEY RRset(kaynak kayıtları anahtarı) doğrulanması, RFC 2535'de belirtilen tek imza doğrulama işlemi yerine iki imza doğrulama işlemi gerektirir (diğer RRset türleri için doğrulama imzalarının sayısı üzerinde herhangi bir etkisi yoktur). Bu durum DNSSEC dağıtımını daha pratik hale getirdiğinden, çoğu insan için daha küçük bir fiyat olarak görünür.

Kriptografik olarak bir alanın(domain) yokluğunu kanıtlamak, var olmayan bir alan için her sorguya yanıtı imzalamayı gerektirir. Bu, anahtarları çevrimiçi olarak saklayan çevrimiçi imzalama sunucuları için bir sorun değildir. Ancak DNSSEC, kayıt imzalamak için çevrimdışı bilgisayarları kullanacak şekilde tasarlanmıştır; böylece bölge imzalama anahtarları soğuk depoda tutulabilir. Bu durum, varolan her ana makine(hostname) adı sorgusuna bir yanıtın önceden üretilmesi mümkün olmadığından mevcut olmayan alanlara yönelik sorgulara yanıtları doğrulamaya çalışırken sorun oluşturur.

Bu probleme ilk çözüm, bir bölgedeki her alan çifti için NSEC kaydı oluşturmak şeklindeydi. Böylece, bir kullanıcı var olmayan codice_1 'daki bir kaydı sorguladığında, sunucu codice_2 ve codice_3 arasında hiçbir şeyin bulunmadığını belirten bir NSEC kaydıyla yanıt verir