DNSSEC Nedir?

DNS’in özgün tasarımında cevabın kimden geldiğini doğrulayan bir mekanizma yoktu. Bir çözümleyici soruyu sorar, gelen ilk makul cevabı kabul ederdi. DNSSEC bu boşluğu kapatmak için tanımlandı ve yaptığı iş tek cümleyle özetlenebilir: her kaydın yanına, o kaydın yetkili sunucu tarafından üretildiğini gösteren bir imza koyar.

İmzalar zincir halinde doğrulanır. Kök bölgeden başlayan güven, üst düzey alan adına, oradan da kurumun kendi bölgesine iner. Zincirin bir halkası imzasızsa doğrulama o noktada durur ve aşağısı için bir şey söylenemez.

Neyi Çözmediği

En sık kurulan yanlış bağlantı gizlilikle ilgilidir. DNSSEC şifreleme yapmaz. İmzalı bir cevap da düz metin olarak taşınır ve yoldaki herkes hangi adı sorduğunuzu görebilir. Gizlilik başka bir katmanın işidir; DNS over HTTPS ve DNS over TLS bunun içindir.

İkinci yanlış bağlantı filtrelemeyle kurulur. DNSSEC bir adın kötü niyetli olup olmadığını değerlendirmez. Zararlı bir alan adı da kendi bölgesini düzgün imzalamış olabilir ve doğrulama başarıyla geçer. İmza, cevabın gerçek olduğunu söyler; iyi olduğunu değil.

Pratikteki Karşılığı

Kurum tarafında iki ayrı karar vardır ve birbirine karıştırılır. Birincisi kendi bölgenizi imzalamaktır; bu, sizin adınıza sahte cevap üretilmesini zorlaştırır. İkincisi çözümleyicinizin gelen imzaları doğrulamasıdır; bu, kullanıcılarınızı sahte cevaplardan korur. Biri dışarıya, diğeri içeriye bakar.

Doğrulama açıldığında beklenmedik arızalar görülebilir. Bölgesini yanlış imzalamış bir alan adı, doğrulama yapan çözümleyicide hiç açılmaz; doğrulama yapmayanda sorunsuz açılır. Kullanıcıya “bende çalışıyor” denen tipik durum çoğu zaman budur.