Ok, ammetterò una cosa prima di tutto: non capisco davvero alcuni degli aspetti pratici di come le protezioni DNSSec funzionano molto bene. (Anche dopo aver letto risorse come this .)
Bene, ho sicuramente capito perché anti- spoofing protezioni per Le ricerche di risoluzione DNS da nome a indirizzo sono molto necessario . E capisco persino (all'incirca, a livello base) come i meccanismi della catena di trust crittografica funzionano , dalla radice del DNS server e domini di primo livello fino all'ISP di livello inferiore e ai server dei nomi interni / aziendali per fornire una base per il ruolo DNSSec di crittografia attestante che un determinato nome di dominio è realmente collegato a uno o più indirizzi IP specificati.
Ma la mia comprensione diventa confusa al punto in cui il dispositivo di un utente finale sfrutta effettivamente le capacità del sistema DNSSec per verificare che il server DNS con cui sta trattando il client stia dicendo la verità quando dice che un certo nome di dominio è legittimo supposto per risolvere a un determinato indirizzo IP. Questo, ad es., www.example.com è voluto dalle persone che lo possiedono per fare riferimento a 93.184.216.34, e che 93.184.216.34 non è solo un server sostitutivo malevolo e malizioso che dice, ad esempio, che il mio browser va a pagina web controllata dagli aggressori invece di quella originale.
Ad ogni modo, la mia vera domanda qui non è del tutto "Non capisco perfettamente come DNSSec funzioni a livello di client / server DNS. Per favore, spiegamelo." Ho una preoccupazione più pragmatica: Si può effettivamente configurare un PC o un dispositivo client dell'utente finale per costringerlo ad accettare & utilizza solo risultati di ricerca DNS che sono stati verificati crittograficamente con DNSSec ? Configurare un PC per utilizzare determinati server DNS specifici è abbastanza facile, ovviamente; come si configura un PC per utilizzare solo i risultati di ricerca DNS che sono verificati come legittimi dall'infrastruttura DNSSec? O può anche essere fatto? c'è qualcosa che mi manca su come DNSSec funziona a livello di client / server DNS che significa che tutta la mia domanda è fuori base? Oppure sta succedendo qualcos'altro?
(Nota: suppongo che mi stia chiedendo l'immagine di un tipico ambiente client Windows nella mia testa, ma in realtà intendo chiedere in un contesto più generale di "C'è qualche tipo di verifica / controllo in DNSSec che effettivamente si verifica a livello di client, o DNSSec è qualcosa di puramente esterno in cui ci si aspetta che un cliente "si fida solo" dell'output finale di alcuni server DNS? "E quest'ultimo sembra molto simile ad alcuni degli stessi problemi che rendono problematico il sistema DNS legacy.)