DNSSEC

Problem

Ihr DNS-Resolver fragt: Was ist die IP von bank.com? Ein Angreifer schafft es, eine gefälschte DNS-Antwort zu liefern. Gewöhnliches DNS beweist nicht von Natur aus, dass die empfangenen DNS-Daten authentisch sind.

Lösung — DNSSEC

DNS-Zonen signieren kryptografisch DNS-Daten. Resolver, die DNSSEC validieren, können diese Signaturen über eine Vertrauenskette überprüfen.

Kerngedanke: DNSSEC bietet Authentizität und Integrität für DNS-Daten; es verschlüsselt keine DNS-Abfragen.