Klasik DNS, yanıtların gerçekten yetkili sunucudan gelip gelmediğini doğrulamaz. Bu durum DNS önbellek zehirlemesi gibi saldırılarla kullanıcıların sahte sunuculara yönlendirilmesine olanak tanır. DNSSEC, her DNS kayıt kümesini kriptografik olarak imzalar.
Temel kayıt türleri:
- DNSKEY: Bölgenin açık anahtarları
- RRSIG: Kayıt kümelerinin imzaları
- DS: Üst bölgede (ör.
.com.tr) yayımlanan ve alt bölgenin anahtarına güven zinciri kuran özet kaydı
Doğrulayıcı çözümleyici, kök bölgeden başlayarak bu zinciri takip eder ve imzası geçersiz yanıtları reddeder.
Dikkat: DNSSEC verinin gizliliğini sağlamaz; yalnızca doğruluğunu ve bütünlüğünü korur. Yanlış yönetilen anahtar değişimleri veya süresi dolan imzalar alan adının tamamen çözümlenememesine yol açabilir; bu nedenle otomatik imzalama sunan bir DNS sağlayıcı tercih edilmelidir.