Спасительный протокол DNSSEC-расширение к DNS для повышения безопасности. Практически 25 лет DNS-запросы не считались безопасными, но после внедрения DNSSEC на корневых серверах эта проблема будет решена. Не секрет, что все современные технологии Интернета получили свою жизнь еще в 70-80-х годах.

В то время разработчиков интересовала сама возможность, и никто особо не рассчитывал на то, что Сеть станет общедоступной и разрастется до мировых масштабов, а подключаться к Интернету можно будет с любой точки планеты. В итоге практически во всех протоколах не была предусмотрена возможность защиты или повышения безопасности.

Результат мы получили в виде спама, атак на ресурсы Сети путем подделки DNS-адресов и многих других проблем. Сегодня изменить что-то глобально невозможно, слишком много сил и средств необходимо потратить. Поэтому и проблемы пытаются решить при помощи разного рода надстроек над протоколами, расширений, использующих в качестве защиты стойкую криптографию. Для SMTP таким спасательным кругом является DKIM (DomainKeys Identified Mail) (1), для DNS - протокол DNSSEC.

Зачем нужен DNSSEC? Служба DNS, сопоставляющая IP-адреса именам доменов, по сути, является фундаментом Интернета. К ее услугам обращаются практически все остальные популярные сервисы, предназначенные для отправки почты, веб-серфинга, VoIP, ICQ и так далее. Соответственно, если DNS выдает неправильную информацию, это сказывается на работе любого сервиса, его запрашивающего.

Хотя многие пользователи и не замечают его присутствия, да и вообще не знают о его существовании и, вполне возможно, не считают его заслуживающим уважения. Но именно DNS, как база Интернета, требует защиты более чем другие сервисы. Известны две возможные атаки на DNS как на сервис разрешения имен: DDoS (Denial of Service) - атака на отказ в обслуживании,

В результате которой сервер перестает отвечать на запросы клиентов (это мы видели в октябре 2002 года, когда перестали отвечать 10 из 13 коренных серверов); DNS Spoofing/DNS cache poisoning - атака, заключающаяся в подмене действительной записи о соответствии имени и IP-адреса в кэше DNS-сервера ложной записью, в результате пользователь, набравший это имя, направляется совсем по другому адресу.