CyberGlossary

Sécurité réseau

DNSSEC

Aussi appelé: Extensions de sécurité du DNS

Définition

Ensemble d'extensions DNS qui signent cryptographiquement les données de zone afin que les résolveurs puissent vérifier l'authenticité et l'intégrité des réponses DNS.

DNSSEC (Domain Name System Security Extensions) ajoute des signatures à clé publique aux enregistrements DNS, permettant à un résolveur validant de confirmer qu'une réponse provient bien de la zone faisant autorité et n'a pas été altérée en transit. Chaque zone publie un enregistrement DNSKEY et signe ses enregistrements avec des RRSIG ; les enregistrements DS dans la zone parente forment une chaîne de confiance jusqu'à la racine signée. DNSSEC protège contre l'empoisonnement de cache, la manipulation sur le chemin et les réponses usurpées. Il ne chiffre pas les requêtes — la confidentialité requiert DoH ou DoT — mais reste essentiel à une résolution de noms fiable et à des protocoles dérivés comme DANE.

Exemples

  • Un résolveur validant rejette une réponse falsifiée pour banque.example car le RRSIG ne se vérifie pas avec la DNSKEY publiée.
  • Un registre effectue la rotation de sa ZSK et publie de nouveaux enregistrements DS dans la zone parente pour maintenir la chaîne de confiance.

Termes liés