هل يستطيع المحلل أن يتحقق من أن إجابات نظام أسماء النطاقات الخاصة بالنطاق أصلية؟
لماذا يهم
يستطيع المهاجم دون DNSSEC أن يرسل إجابة مزورة توجّه الزوار والبريد إلى خوادمه أما مع DNSSEC فترفض المحللات التي تتحقق من التوقيع كل إجابة لا تحمل سلسلة توقيع صالحة حتى الجذر ولا يمكن توقيع النطاق توقيعاً كاملاً إلا إذا كان النطاق الأعلى الذي يتبعه موقّعاً أيضاً.
متى يجتاز النطاق
يجتاز النطاق عندما تعدّ المحللات التي تتحقق من التوقيع إجاباته موثّقة.
كيف تعالجه
- فعّل توقيع DNSSEC لدى مزود خدمة أسماء النطاقات.
- سلّم سجل DS إلى الجهة المسؤولة عن النطاق الأعلى ثم تأكد من نجاح التحقق.
- وإذا لم يكن النطاق الأعلى نفسه موقّعاً فاطلب من الجهة المسؤولة عنه توقيعه لأن أي نطاق يتبعه لن يجتاز التحقق قبل ذلك.
مثال على السجل
example.com DS 370 13 2 BE74359954660069D5C63D200C39F5603827D7DD02B56F120EE9F3A86764247C