Extensiones de seguridad del sistema de nombres de dominio (DNSSEC)

DNSSEC, abreviatura de «Extensiones de seguridad del sistema de nombres de dominio», es un protocolo mejorado diseñado para garantizar la autenticidad de la información proporcionada por los servidores DNS. Utiliza criptografía de clave pública y firmas digitales para subsanar las vulnerabilidades de seguridad del protocolo DNS tradicional. DNS, desarrollado en 1983, es un sistema que traduce nombres de dominio (nombres de host) en direcciones IP, pero ha sido objeto de críticas por carecer de mecanismos de seguridad sólidos. Una vulnerabilidad importante es su exposición a ataques de envenenamiento de la caché DNS.

La infraestructura DNS consta de dos tipos principales de servidores:

1. Servidores de contenido DNS (servidores autoritativos): gestionan la información real del dominio.
2. Servidores de caché DNS (servidores de nombres): consultan los servidores de contenido en nombre de los clientes y almacenan temporalmente las respuestas en caché durante un periodo determinado para atender futuras solicitudes similares sin tener que repetir las consultas.

Si se almacenan datos maliciosos o incorrectos en la caché («caché envenenada»), el servidor de caché DNS podría proporcionar a los clientes una dirección IP incorrecta y redirigirlos a sitios fraudulentos. Esta explotación deliberada se conoce como envenenamiento de la caché DNS. Se produce porque la comunicación DNS entre servidores utiliza el protocolo UDP sin estado, que no verifica al remitente. Los atacantes llevan a cabo el envenenamiento de la caché sincronizando hábilmente paquetes de respuesta falsificados para que coincidan con solicitudes legítimas.

DNSSEC mitiga este riesgo mediante la validación criptográfica. Los servidores de contenido DNS autoritativos generan un par de claves criptográficas: una clave privada y otra de acceso público. Al responder a una consulta, el servidor utiliza su clave privada para firmar la respuesta DNS. Cuando el servidor de caché DNS recibe la respuesta, valida la firma digital mediante la clave pública. Este proceso garantiza la integridad y autenticidad de los datos, lo que impide eficazmente los ataques de envenenamiento de la caché DNS.