DNSSEC
DNS Security Extensions: digitale handtekeningen op DNS-records waarmee resolvers kunnen verifiëren dat een antwoord van de eigenaar van de zone komt en niet is gewijzigd.
Wat het betekent
Met DNSSEC ondertekent een zone zijn records (RRSIG), publiceert hij zijn publieke sleutels (DNSKEY) en laat hij een hash van zijn sleutel (DS) in de bovenliggende zone plaatsen. Validerende resolvers volgen de vertrouwensketen vanaf de root en weigeren vervalste of gewijzigde antwoorden. RFC 4033 merkt op dat het herkomstauthenticatie en integriteit biedt, geen vertrouwelijkheid.
Voor mail is het de basis van DANE: TLSA-records tellen alleen als DNSSEC ze valideert, en REQUIRETLS accepteert een met DNSSEC ondertekende MX als bewijs van de juiste server. Het beschermt ook MX-, SPF- en DKIM-records tegen vervalste DNS-antwoorden.
Inschakelen vraagt werk van zowel je DNS-host (ondertekenen) als je registrar (DS publiceren). Een mismatch na een wissel van host zorgt dat validerende resolvers het domein niet meer kunnen resolven, dus plan een verhuizing zorgvuldig.
Verwante begrippen
Op deze site
Bronnen
Waar deze definitie op steunt. De formulering is van ons, de feiten zijn van hen.
- RFC 4033: DNS Security Introduction and Requirementsrfc-editor.org
- ICANN: DNSSEC, what is it and why is it importanticann.org
- Microsoft Learn: How SMTP DANE workslearn.microsoft.com
Alle 432 begrippen in de begrippenlijstDe wiki: blacklists en bouncecodes