Technické pojmy (DNS)
DNSSEC
Kryptografické podepisování DNS záznamů, které brání jejich podvržení.
DNSSEC (Domain Name System Security Extensions) je rozšíření DNS, které záznamy kryptograficky podepisuje. Resolver si díky tomu může ověřit, že odpověď skutečně pochází od oprávněného zdroje a nikdo ji cestou nepozměnil.
Řeší konkrétní útok: podvržení DNS odpovědi, kdy je uživatel poslán na cizí server, aniž by to poznal — adresa v prohlížeči je správná, ale obsah pochází od útočníka. DNSSEC tomu brání tím, že neověřený záznam se zahodí a překlad selže.
Je důležité vědět, co DNSSEC nedělá. Nešifruje provoz, nechrání obsah webu a nenahrazuje SSL certifikát. Zajišťuje pouze pravost a neporušenost DNS odpovědi. Obě technologie se doplňují, ale řeší jiné vrstvy problému.
V Česku je zavedení DNSSEC nadprůměrné — CZ.NIC ho dlouhodobě prosazuje a podíl podepsaných .cz domén patří ke světové špičce. Zapnutí je u většiny českých registrátorů otázkou jednoho přepínače, u některých je zdarma, u jiných za příplatek.
Při převodu domény nebo změně jmenných serverů si DNSSEC žádá pozornost. Pokud zůstanou v registru podpisové údaje odkazující na klíče, které nový správce nemá, doména přestane fungovat úplně — a chyba se hledá nepříjemně, protože navenek to vypadá jako výpadek DNS. Před přesunem se proto DNSSEC obvykle dočasně vypíná a po dokončení znovu zapíná.
U expirovaných domén je zapnuté DNSSEC drobným pozitivním signálem: naznačuje, že se o doménu staral někdo technicky zdatný. Zároveň platí totéž varování — po převzetí domény zkontrolujte, jestli v registru nezůstaly staré podpisové údaje.
