DNS (Domain Name System) je imenik interneta: lahko zapomljiva domenska imena (na primer pelda.hu) prevaja v naslove IP, ki jih uporabljajo računalniki, in pove tudi, kateri strežnik sprejema e-pošto domene. DNSSEC (Domain Name System Security Extensions) ni drug sistem, temveč dopolnitev DNS: z digitalnimi podpisi potrjuje, da prejeti odgovor res izvira iz cone domene in ga med potjo nihče ni spremenil.

Kako deluje klasični DNS?

Ko v brskalnik vpišeš naslov, se računalnik obrne na razreševalnik DNS (običajno razreševalnik ponudnika internetnih storitev ali javni razreševalnik). Razreševalnik od korenske cone naprej povpraša po hierarhiji: od imenskih strežnikov vrhnje domene izve, kateri imenski strežnik je odgovoren za domeno, nato od tam zahteva iskani zapis, na primer zapis A. Odgovore nekaj časa (do izteka TTL) hrani v svojem predpomnilniku.

V klasičnem DNS razreševalnik nima načina, da bi preveril, ali je odgovor verodostojen. To izkorišča zastrupitev predpomnilnika (cache poisoning): napadalec razreševalniku podtakne lažen odgovor, ta pa nato uporabnike preusmeri na drug strežnik, ki je lahko tudi lažen (phishing).

Kaj doda DNSSEC?

Ob vklopu DNSSEC se cona domene podpiše. Ob zapise pride podpis (RRSIG), cona objavi svoje javne ključe (DNSKEY), v coni vrhnje domene pa zapis DS določa, kateri ključ spada k domeni. Tako nastane veriga zaupanja od korenske cone do domene, razreševalnik, ki izvaja preverjanje, pa lahko preveri vsak korak. Postopek po korakih predstavlja članek Kako deluje overjanje DNSSEC?.

Razlike v eni tabeli

	DNS	DNSSEC
Naloga	razreševanje domenskih imen v naslove IP in druge podatke	potrjevanje verodostojnosti odgovorov DNS
Zapisi	A, AAAA, MX, CNAME, TXT, NS in drugi	poleg naštetih DNSKEY, RRSIG, DS, NSEC/NSEC3
Ob lažnem odgovoru	razreševalnik ga sprejme	razreševalnik s preverjanjem ga zavrne
Nastavitev	v coni DNS	podpis cone ter dodajanje zapisa DS pri registru
Vzdrževanje	le ob spremembi zapisov	stalno obnavljanje podpisov, zamenjava ključev

Pred čim DNSSEC ne ščiti?

• Ne šifrira. DNSSEC potrjuje verodostojnost odgovorov, poizvedbe pa ostanejo berljive. Za šifriranje poizvedb sta namenjena DNS over TLS (DoT) in DNS over HTTPS (DoH).
• Ne ščiti pred vdorom v tvoj račun. Če kdo dobi dostop do upravljanja domene ali cone DNS, sistem verodostojno podpiše tudi lažne zapise. Pred tem ščitijo močno geslo, dvostopenjska prijava in zaklep domene.
• Ne nadomešča potrdila SSL. DNSSEC ščiti razreševanje naslova, promet med spletno stranjo in obiskovalcem pa še vedno šifrira HTTPS.

Ali potrebuješ oboje?

Brez DNS domena ne deluje, DNSSEC pa ni obvezen. Če ga vklopiš, razreševalniki s preverjanjem, ki poizvedujejo po domeni, sprejmejo le verodostojne odgovore. Cena za to je, da lahko napačna nastavitev (na primer zastarel zapis DS po zamenjavi imenskih strežnikov) povzroči nedosegljivost domene. Zato je DNSSEC smiselno vklopiti tam, kjer cono in zapis DS upravlja isti ponudnik ali kjer spremembe skrbno spremlja nekdo.