DNSSEC
Kurz gesagt: DNSSEC (Domain Name System Security Extensions) ist eine Erweiterung des DNS, mit der Antworten auf DNS-Anfragen kryptografisch signiert werden. So lässt sich prüfen, ob eine Auskunft wirklich vom zuständigen Nameserver stammt und unterwegs nicht verändert wurde.
Jede Zone signiert ihre Einträge mit einem eigenen Schlüssel, die übergeordnete Zone bestätigt diesen Schlüssel über einen DS-Eintrag. So entsteht eine Vertrauenskette bis zur Root-Zone. Ein validierender DNS-Server verwirft Antworten, deren Signatur nicht passt, und schützt so vor gefälschten Einträgen, etwa durch DNS-Spoofing. DNSSEC verschlüsselt die Anfragen nicht, es sichert nur ihre Echtheit. Beim Schlüsseltausch müssen die Einträge in beiden Zonen zusammenpassen, sonst schlägt die Prüfung fehl und betroffene Dienste sind nicht mehr erreichbar. DNSSEC ist außerdem Voraussetzung für DANE.
