C'è un modo per impostare un criterio DNSSec sempre simile al modo in cui i HSTS comanda ai browser Web di utilizzare sempre HTTPS?
Questo attenuerebbe un attacco alla striscia DNSSec (simile a SSLStrip)
Inoltre non sono chiaro se ciò si applicherebbe a IPSec, dove la sicurezza è obbligatoria, ma non è sicuro se ciò richieda DNSSec come prerequisito
No, non esiste un equivalente HSTS diretto per DNSSEC. La maggior parte dei clienti purtroppo non supporta DNSSEC, e quindi non potrebbe importare di meno del record RRSIG del tuo server. Tuttavia, i client che supportano DNSSEC convalideranno sempre i record del server (presupponendo di avere un record DS valido per l'impostazione del dominio con il registrar). Quindi, non c'è bisogno di un equivalente HSTS per DNSSEC, in quanto i client DNSSEC non convalideranno mai i domini.
La seguente soluzione potrebbe non adattarsi bene, ma:
È possibile modificare la seguente architettura in una soluzione aziendale, in cui si imposta il server DNS sulla rete e sul firewall periferico si bloccano le richieste DNS dagli indirizzi IP che non sono il server DNS. E presume che la tua rete sia affidabile.
Leggi altre domande sui tag dns hsts sslstrip threat-mitigation dnssec