← 1.1.1.1 (DNS resolver) / 1.1.1.1 / encryption

DNSKEY

Standardní DNS nemá žádný vestavěný způsob, jak ověřit, že odpověď skutečně pochází z autoritativního serveru dané domény. Útočník by tak mohl vrátit podvrženou odpověď, kterou by resolver nedokázal odhalit.

DNSSEC ↗ tento problém řeší tím, že přidává kryptografické podpisy k záznamům DNS. Vlastníci domén podepisují své záznamy DNS soukromým klíčem a resolvery jako 1.1.1.1 tyto podpisy ověřují pomocí odpovídajícího veřejného klíče. Tím se prokáže, že odpověď je pravá a nebyla při přenosu změněna.

DNSSEC používá k distribuci veřejných klíčů potřebných pro ověření dva typy DNS záznamů:

• DNSKEY záznamy obsahují veřejné podpisové klíče dané domény.
• DS (Delegation Signer) záznamy propojují klíče podřízené zóny s nadřízenou zónou, čímž vytvářejí řetězec důvěry.

Resolvery používají tyto klíče k ověření podpisů uložených v Záznamy RRSIG ↗.

1.1.1.1 podporuje následující podpisové algoritmy DNSSEC:

• RSA/SHA-1
• RSA/SHA-256
• RSA/SHA-512
• RSASHA1-NSEC3-SHA1
• ECDSA Curve P-256 with SHA-256 (ECDSAP256SHA256)
• ECDSA Curve P-384 with SHA-384 (ECDSAP384SHA384)
• ED25519