← 1.1.1.1 (DNS-резолвер) / 1.1.1.1 / encryption

DNSKEY

У стандартного DNS нет встроенного способа проверить, что ответ действительно пришёл с авторитетного сервера домена. Злоумышленник может подменить ответ, и резолвер никак не сможет это обнаружить.

DNSSEC ↗ решает эту проблему, добавляя криптографические подписи к записям DNS. Владельцы доменов подписывают свои записи DNS закрытым ключом, а резолверы, такие как 1.1.1.1, проверяют эти подписи с помощью соответствующего открытого ключа. Это подтверждает, что ответ подлинный и не был изменён при передаче.

DNSSEC использует два типа DNS-записей для распространения открытых ключей, необходимых для проверки:

• DNSKEY-записи содержат открытые ключи подписи для домена.
• DS (Delegation Signer) связывают ключи дочерней зоны с родительской, выстраивая цепочку доверия.

Резолверы используют эти ключи для проверки подписей, хранящихся в RRSIG-записи ↗.

1.1.1.1 поддерживает следующие алгоритмы подписи DNSSEC:

• RSA/SHA-1
• RSA/SHA-256
• RSA/SHA-512
• RSASHA1-NSEC3-SHA1
• ECDSA Curve P-256 with SHA-256 (ECDSAP256SHA256)
• ECDSA Curve P-384 with SHA-384 (ECDSAP384SHA384)
• ED25519