Domain Name System Security Extensions: Porovnání verzí

'''DNSSEC''' (zkratka pro '''Domain Name System Security Extensions''') je v [[Informatika|informatice]] sada specifikací [[Internet Engineering Task Force|IETF]] specifikací, které umožňují zabezpečit informace poskytované systémem[[Domain Name System|DNS]] systémem v sítích [[Internet Protocol|IP]] sítích (tj. na [[Internet]]u) proti [[Padělání|podvržení]] (tzv. ''spoofing'') a úmyslné manipulaci. Klient (resolver) může pomocí [[Elektronický podpis|elektronického podpisu]] ověřit původ dat, jejich integritu (neporušenost) nebo platnost neexistence záznamu, ale nezajišťuje zašifrovaný přenos dat (tj. utajení) a nezaručuje jejich dostupnost.

Běžný [[DNS]] systém slouží k překladu [[Internetová doména|doménových jmen]] na adresy [[IP adresa|IP]] adresy (a zpět), ale nemá žádnou ochranu proti napadení. Pokud je do [[Webový prohlížeč|webového prohlížeče]] zadána adresa ''www.banka.cz'', může být přeložena na podvrženou [[IP adresa|IP adresu]], přičemž v adresním řádku prohlížeče bude stále ''www.banka.cz'', takže uživatel nepostřehne, že prohlížeč ve skutečnosti zobrazil podvrženou stránku (viz [[Phishing]]). Tomuto útoku se lze bránit tak, že ''www.banka.cz'' použije pro komunikaci zabezpečený protokol [[HTTPS]], avšak ne každý uživatel může tento rozdíl postřehnout (navíc i toto se dá obejít, více viz [[HTTPS]]).

Na obrázku vpravo je grafická reprezentaci validace DNSSEC. K doméně si musíme najít záznam typu [[Delegation Signer|DS]] záznam u rodiče. Ten následně validovat pomocí rodičovského ZSK (který je podepsaný rodičovským KSK) a pokud rodič není kořenový server, pak tento proces opakovat. Kořenový server nad sebou již nikoho nemá, bere se tedy jeho KSK klíč jako validní.

Můžete si všimnout, že vedle kořenového serveru je větev s tzv. záznamem [[DNSSEC Look-aside Validation|DLV]] záznamem. Jedná se o dodatečný bezpečnostní záznam pro ty domény, které by chtěly být DNSSEC validní, avšak jejich rodič DNSSEC nepodporuje. Tímto, místo DS záznamu u rodiče, je možno najít záznam potřebný pro validaci KSK domény na oficiálních serverech DNSSEC.

; [[Zone Signing Key]] (ZSK): Slouží k podpisu vlastních dat (tedy dat této domény, která DNS server DNS poskytuje v odpovědích na dotazy klientů), čímž zajistí, že pokud jsou podvržena, jste schopni to zjistit

Jedná se v podstatě o seznam záznamů, které byly použity pro validaci DNSSEC domény DNSSEC. Kořenová doména má veřejnou část svého KSK záznamu na oficiálních stránkách, tento klíč pak validuje přes RRSIG její ZSK, který validuje DS záznam o potomku, který validuje KSK potomka a takto tento řetězec pokračuje, až se dostaneme na konec (za předpokladu, že je testovaná doména validní).