DNSSEC () on DNS-nimipalvelun laajennos, jolla varmistetaan nimipalvelimelta saatavien tietojen alkuperä ja eheys.
Kehitys alkoi 1990-luvulla ratkaisemaan DNS:n haavoittuvuutta. DNS sellaisenaan ei voi varmistaa, että vastaus nimipalvelulle lähetetylle kyselylle tulee luotettavasta lähteestä, vaan vastaus voi olla hyökkääjän väärentämä (DNS spoofing). DNSSEC on digitaalinen allekirjoitus, jolla voidaan tarkistaa vastauksen olevan peräisin luotettavalta palvelimelta. DNSSEC käyttää digitaalista allekirjoitusta ja julkisen avaimen salausmenetelmää. DNS over TLS täydentää DNSSEC:in toimintaa salaamalla liikenteen, jolloin ulkopuolinen taho ei voi seurata kysyttäjä osoitteita.
DNS:n haavoittuvuuksia on dokumentoitu RFC-dokumentissa . Steven M. Bellovin kirjoitti DNS:n haavoittuvuuksista tunnetun julkaisun.
IETF:n julkaisuja Domain Name System Security Extensions A Threat Analysis of the Domain Name System DNS Security Introduction and Requirements (DNSSEC-bis) Resource Records for the DNS Security Extensions (DNSSEC-bis) Protocol Modifications for the DNS Security Extensions (DNSSEC-bis) Storing Certificates in the Domain Name System (DNS) Minimally Covering NSEC Records and DNSSEC On-line Signing Use of SHA-256 in DNSSEC Delegation Signer (DS) Resource Records (RRs) DNSSEC Hashed Authenticated Denial of Existence DNSSEC Operational Practices, Version 2 Clarifications and Implementation Notes for DNS Security (DNSSEC)
Lähteet
Luokka:Nimipalvelujärjestelmä Luokka:Tietoverkkojen tietoturva