Visão geral do DNSSEC

Os dispositivos Junos OS oferecem suporte ao padrão de extensões de segurança de serviço (DNSSEC) de nome de domínio. O DNSSEC é uma extensão do DNS que oferece autenticação e verificação de integridade dos dados usando assinaturas baseadas em chave pública.

No DNSSEC, todos os registros de recursos em um DNS são assinados com a chave privada do proprietário da zona. O resolver de DNS usa a chave pública do proprietário para validar a assinatura. O proprietário da zona gera uma chave privada para criptografar o hash de um conjunto de registros de recursos. A chave privada está armazenada em registro RRSIG. A chave pública correspondente está armazenada no registro DNSKEY. O resolver usa a chave pública para descriptografar o RRSIG e compara o resultado com o hash do registro de recursos para verificar se ele não foi alterado.

Da mesma forma, o hash do DNSKEY público é armazenado em um registro de DS em uma zona-mãe. O proprietário da zona gera uma chave privada para criptografar o hash da chave pública. A chave privada está armazenada no registro RRSIG. O resolver recupera o registro de DS e seu registro RRSIG correspondente e chave pública. Usando a chave pública, o resolver descriptografa o registro RRSIG e compara o resultado com o hash do DNSKEY público para verificar se ele não foi alterado. Isso estabelece uma cadeia de confiança entre o resolver e os servidores de nome.