CyberGlossary

Seguridad de red

DNSSEC

También conocido como: Extensiones de Seguridad del DNS

Definición

Conjunto de extensiones de DNS que firma criptográficamente los datos de zona para que los resolutores puedan verificar la autenticidad e integridad de las respuestas DNS.

DNSSEC (Domain Name System Security Extensions) añade firmas de clave pública a los registros DNS, permitiendo que un resolutor validador confirme que una respuesta proviene realmente de la zona autoritativa y no ha sido alterada en tránsito. Cada zona publica un registro DNSKEY y firma sus registros con RRSIG, mientras que los registros DS del padre establecen una cadena de confianza hasta la raíz firmada. DNSSEC protege frente al envenenamiento de caché, manipulación en ruta y respuestas suplantadas. No cifra las consultas — la confidencialidad requiere DoH o DoT — pero es esencial para una resolución de nombres fiable y para protocolos derivados como DANE.

Ejemplos

  • Un resolutor validador rechaza una respuesta falsificada para banco.example porque el RRSIG no verifica contra la DNSKEY publicada.
  • Un registro rota su ZSK y publica nuevos registros DS en el padre para mantener la cadena de confianza.

Términos relacionados