A DNS (Domain Name System) az internet címjegyzéke: a könnyen megjegyezhető domain neveket (például pelda.hu) a számítógépek által használt IP-címekre fordítja, és megmondja azt is, melyik szerver fogadja a domain e-mailjeit. A DNSSEC (Domain Name System Security Extensions) nem egy másik rendszer, hanem a DNS kiegészítése: digitális aláírásokkal igazolja, hogy a kapott válasz valóban a domain zónájából származik, és útközben senki nem módosította.

Hogyan működik a hagyományos DNS?

Amikor a böngészőbe beír egy címet, a gép egy DNS-feloldóhoz fordul (ez általában az internetszolgáltatóé vagy egy nyilvános feloldó). A feloldó a gyökérzónától kezdve végigkérdezi a hierarchiát: a TLD névszervereitől megtudja, melyik névszerver felel a domainért, majd onnan lekéri a kért rekordot, például az A rekordot. A válaszokat egy ideig (a TTL-ig) a gyorsítótárában tárolja.

A hagyományos DNS-ben a feloldónak nincs módja ellenőrizni, hogy a válasz hiteles-e. Ezt használja ki a gyorsítótár-mérgezés (cache poisoning): a támadó hamis választ csempész a feloldóhoz, amely aztán a felhasználókat egy másik, akár adathalász szerverre irányítja.

Mit tesz hozzá a DNSSEC?

A DNSSEC bekapcsolásakor a domain zónája aláírásra kerül. A rekordok mellé aláírás (RRSIG) kerül, a zóna közzéteszi a nyilvános kulcsait (DNSKEY), a TLD zónájában pedig egy DS rekord rögzíti, melyik kulcs tartozik a domainhez. Így bizalmi lánc jön létre a gyökérzónától a domainig, és az ellenőrzést végző feloldó minden lépést meg tud vizsgálni. A folyamatot lépésenként a Hogyan működik a DNSSEC hitelesítés? cikk mutatja be.

A különbségek egy táblázatban

	DNS	DNSSEC
Feladata	domain nevek feloldása IP-címekre és más adatokra	a DNS-válaszok hitelességének igazolása
Rekordok	A, AAAA, MX, CNAME, TXT, NS és a többi	a fentiek mellett DNSKEY, RRSIG, DS, NSEC/NSEC3
Hamis válasz esetén	a feloldó elfogadja	az ellenőrző feloldó elutasítja
Beállítás	a DNS-zónában	a zóna aláírása, valamint a DS rekord felvétele a nyilvántartónál
Karbantartás	csak a rekordok változásakor	az aláírások folyamatos megújítása, kulcscsere

Mitől nem véd a DNSSEC?

• Nem titkosít. A DNSSEC a válaszok hitelességét igazolja, de a lekérdezések továbbra is olvashatók. A lekérdezések titkosítására a DNS over TLS (DoT) és a DNS over HTTPS (DoH) szolgál.
• Nem véd a fiókjának feltörése ellen. Ha valaki hozzáfér a domain kezeléséhez vagy a DNS-zónához, a hamis rekordokat is hitelesen aláírja a rendszer. Ez ellen erős jelszó, kétlépcsős azonosítás és a domain zárolása véd.
• Nem helyettesíti az SSL tanúsítványt. A DNSSEC a címfeloldást védi, a weboldal és a látogató közötti forgalmat továbbra is a HTTPS titkosítja.

Kell-e mindkettő?

DNS nélkül egy domain nem működik, a DNSSEC viszont nem kötelező. Ha bekapcsolja, a domain nevét kérdező, ellenőrzést végző feloldók csak hiteles választ fogadnak el. Ennek ára, hogy a hibás beállítás (például egy elavult DS rekord névszerverváltás után) a domain elérhetetlenségét okozhatja. Ezért érdemes a DNSSEC-et ott bekapcsolni, ahol a zónát és a DS rekordot ugyanaz a szolgáltató kezeli, vagy ahol a változásokat valaki gondosan követi.