Domande frequenti sugli DNSSEC  

Il sistema di nomi di dominio (Domain Name System - DNS)

Cos'è il sistema DNS?
Come funziona il sistema DNS?
Perché il sistema DNS è vulnerabile?
Cosa si intende per cache poisoning?
Cosa sono gli attacchi dell'uomo in mezzo (MITM)?

DNSSEC

A cosa serve il protocollo DNSSEC?
Chi trae vantaggio dal protocollo DNSSEC?
Come funziona il protocollo DNSSEC?
Il protocollo DNSSEC riesce a risolvere positivamente il problema generale della sicurezza Internet?
In che modo un utente viene informato di un attacco?
In cosa consiste l'impegno di Verisign per implementare il protocollo DNSSEC?
Qual è la strategia di distribuzione del protocollo DNSSEC da parte di Verisign?
Cosa occorre affinché il protocollo DNSSEC abbia successo?
Chi ha adottato o distribuito il protocollo DNSSEC?
Dopo la distribuzione del protocollo DNSSEC, è ancora necessario il protocollo SSL (Secure Sockets Layer)?
Il protocollo DNSSEC è un requisito normativo o uno standard di settore?
Come nasce il protocollo DNSSEC?

Società di registrazione

Come inciderà l'implementazione del protocollo DNSSEC sulle società di registrazione?
Come sta operando Verisign a supporto delle società di registrazione per domini .com/.net?
I consumatori possono acquistare il protocollo DNSSEC? Come funziona?

ISP, venditori e operatori di siti Web (registranti)

Cosa devono fare i fornitori di servizi Internet (internet service providers - ISP)?
Che ruolo hanno i venditori di hardware in merito al protocollo DNSSEC?
In che modo gli sviluppatori software possono supportare il protocollo DNSSEC?
Cos'è Verisign DNSSEC Interoperability Lab?
Come possono abilitare il protocollo DNSSEC gli operatori di siti Web?
Che ruolo svolgono i responsabili delle decisioni nel successo del protocollo DNSSEC?

 

Risposte relative al DNS

Cos'è il sistema DNS? 
Il DNS è il sistema di indirizzamento per Internet. Praticamente qualsiasi elemento che si interfaccia con Internet (es. computer, dispositivi portatili, laptop, ATM e terminali POS) fa affidamento sui servizi DNS per lo scambio di informazioni. Il DNS utilizza server specifici per convertire (o risolvere) nomi quali www.verisigninc.com in indirizzi numerici che consentono ai dati e alle informazioni di raggiungere la propria destinazione. Tutte le applicazioni Internet (compresi siti Web, e-mail, social networking e banking online a Voice over Internet Protocol (VoIP), condivisione di file e video on demand) dipendono dall'accuratezza e dall'integrità di questa conversione. Senza il DNS, Internet non potrebbe funzionare. Il DNS è parte integrante delle infrastrutture nazionali più importanti, delle operazioni di business online e delle transazioni finanziarie, nonché di tutte le comunicazioni basate su Internet. Torna all'inizio

Come funziona il sistema DNS? 
Lo spazio del nome di dominio consiste in un albero di nomi di dominio, suddiviso in diverse zone. La zona di primo livello, o zona principale, è amministrata dal Dipartimento del Commercio statunitense (DoC) e gestita da Verisign e l'Internet Assigned Numbers Authority (IANA), che mantengono i dati nei server dei nomi root. Ulteriori informazioni su DNS.

Una zona DNS consiste in una raccolta di nodi collegati serviti da un server del nome autoritativo. I server dei nomi autoritativi di diverse zone sono responsabili della pubblicazione delle mappature dei nomi di dominio agli indirizzi IP. Ogni nodo o foglia dell'albero dispone di zero o più record di risorse che mantengono le informazioni associate al nome di dominio. Ciascun nome di dominio termina con un dominio di primo livello (TLD), come .com o .tv.

Per il corretto funzionamento di Internet e per evitare la duplicazione dei nomi di dominio, deve essere presente un ambiente autorevole per la registrazione dei nomi di dominio. Ciascun TLD dispone di un'autorità di registro che gestisce un database centralizzato. Il registro propaga le informazioni su nomi di dominio e indirizzi IP nei file di zona TLD. I file di zona TLD indirizzano i nomi di dominio di secondo livello attivi (la parte di nome di dominio che appare immediatamente a sinistra del ".") all'indirizzo IP univoco dei server di nomi. Per saperne di più su nomi di dominio e registrazione. Torna all'inizio

Perché il sistema DNS è vulnerabile? 
Il processo di conversione di un nome di dominio in indirizzo IP viene definito risoluzione DNS. Quando si digita un nome di dominio, come www.verisigninc.com, in un browser Web, il browser contatta il server del nome per ottenere l'indirizzo IP corrispondente. Esistono due tipi di server di nomi: server dei nomi autoritativi, che archiviano informazioni complete su una zona e server dei nomi ricorsivi, che rispondono alle query DNS poste dagli utenti Internet e archiviano le risposte DNS per un certo periodo di tempo. Quando un server di nomi ricorsivi riceve una risposta, la memorizza nella cache (archivia) per velocizzare le query successive. La memorizzazione in cache consente di ridurre il numero di richieste di informazioni necessarie, ma è soggetta ad attacchi man-in-the-middle.

A causa di questi attacchi, i criminali informatici sono in grado di:

• Assumere il controllo delle e-mail
• Controllare il Voice over IP (VoIP)
• Impersonare siti Web
• Rubare password e informazioni di login
• Estrapolare dati di carte di credito e altre informazioni confidenziali

Ulteriori informazioni sulle minacce al sistema DNS. Torna all'inizio

Cosa si intende per "avvelenamento della cache"? 
L'avvelenamento della cache si verifica quando vengono inseriti dati DNS fraudolenti nella cache di un server del nome ricorsivo. I server dei nomi ricorsivi archiviano temporaneamente, o memorizzano nella cache, le informazioni acquisite durante il processo di risoluzione del nome, ma senza il protocollo DNSSEC non è possibile, per questi server, garantire la validità e l'accuratezza di tali informazioni. Quando nella cache del server dei nomi ricorsivo vengono memorizzate informazioni dannose, il server viene considerato poisoned (avvelenato). il Cache poisoning consente pertanto agli autori di attacchi di reindirizzare il traffico su siti fraudolenti. Torna all'inizio

Cosa sono gli attacchi dell'uomo in mezzo (MITM)? 
Un attacco MITM intercetta e modifica furtivamente le comunicazioni tra due sistemi. L'autore dell'attacco è potenzialmente in grado di modificare la comunicazione per reindirizzare il traffico a un indirizzo o sito Web illegittimo. Gli utenti finali non scoprono la presenza del cosiddetto "man in the middle" e credono di comunicare direttamente con il destinatario desiderato. Torna all'inizio

Risposte DNSSEC

A cosa serve il protocollo DNSSEC? 
Il protocollo DNSSEC tutela la community di Internet dai dati DNS manomessi, utilizzando una crittografia a chiave pubblica per eseguire firme digitali per dati di zone autoritative. La convalida DNSSEC garantisce agli utenti che i dati derivanti dall'origine indicata non sono stati modificati durante la transazione. Il protocollo DNSSEC consente inoltre di dimostrare che un nome di dominio non esiste.

Nonostante il protocollo DNSSEC migliori la sicurezza DNS, esso non costituisce una soluzione completa. Non protegge da attacchi DDoS (Distributed Denial of Service), non garantisce la massima riservatezza negli scambi di dati, né consente di crittografare i siti Web o di prevenire spoofing e phishing di indirizzi IP. Anche altri livelli di protezione, tra cui prevenzione degli attacchi DDoS, intelligence di sicurezza, crittografia SSL (Secure Sockets Layer), convalida dei siti e autenticazione a due fattori, sono indispensabili per garantire una maggiore sicurezza di Internet. Tali meccanismi dovrebbero essere utilizzati in abbinamento al protocollo DNSSEC. Torna all'inizio

Chi trae vantaggio dal protocollo DNSSEC? 
Il protocollo DNSSEC influenza ogni componente all'interno dell'ecosistema dell'infrastruttura Internet. L'effettiva distribuzione di questo protocollo richiede il coinvolgimento di molti azionisti all'interno della community di Internet. Registri, società di registrazione, registranti di nomi di dominio, venditori di hardware e software, ISP, entità governative e semplici utenti di Internet: tutti svolgeranno un ruolo fondamentale per garantire il successo duraturo e stimolare lo sviluppo di miglioramenti sostanziali nell'ambito della sicurezza di Internet.

Il protocollo DNSSEC offre vantaggi a:

• La community di Internet, migliorando la sicurezza nelle zone sottoscritte.
• Le società di registrazione, che potranno offrire servizi di sottoscrizione dei domini ai propri clienti.
• Gli ISP, incrementando la sicurezza dei dati restituiti ai propri clienti.
• Gli utenti, che potranno tutelarsi dalle vulnerabilità DNS quali avvelenamento della cache e attacchi man-in-the-middle.

Torna all'inizio

Come funziona il protocollo DNSSEC? 
Nel protocollo DNSSEC ciascuna zona è dotata di una coppia di chiavi pubblica/privata. La chiave pubblica della zona utilizza il sistema DNS, mentre la chiave privata viene protetta e possibilmente archiviata offline. La chiave privata di una zona segnala singoli dati DNS in quella zona, creando firme digitali che vengono anche pubblicate con il sistema DNS.

Il protocollo DNSSEC si avvale di un rigido modello di affidabilità che, secondo una catena gerarchica, passa dalla zona madre alla zona figlia. Le zone di livello alto (madri) sottoscrivono, o garantiscono per, le chiavi pubbliche delle zone di livello inferiore (figlie). I server di nomi autoritativi per queste zone possono essere gestiti da società di registrazione, ISP, società di hosting Web o dagli operatori di siti Web (registranti) stessi.

Quando un utente finale desidera accedere a un sito Web, uno stub resolver all'interno del sistema operativo dell'utente richiede la registrazione del nome di dominio da un server del nome ricorsivo, situato presso un ISP. Dopo che il server ha richiesto questo record, richiede anche la chiave DNSSEC associata alla zona. Questa chiave consente al server di verificare che le informazioni ricevute siano identiche al record presente sul server del nome autoritativo.

Se il server del nome ricorsivo determina che il record dell'indirizzo è stato inviato dal server del nome autoritativo e non è stato modificato durante il transito, il nome di dominio viene risolto e l'utente può accedere al sito. Tale procedura viene definita convalida. Se il record dell'indirizzo è stato modificato o non proviene dall'origine indicata, il server del nome ricorsivo non consente all'utente di raggiungere l'indirizzo fraudolento. Il protocollo DNSSEC consente inoltre di dimostrare che un nome di dominio non esiste. Torna all'inizio

Il protocollo DNSSEC riesce a risolvere positivamente il problema generale della sicurezza Internet? 
Esistono numerosi pezzi che compongono il puzzle completo della sicurezza Internet. Il protocollo DNSSEC consente di prevenire le problematiche relative alla sicurezza causate, ad esempio, da attacchi man-in-the-middle e di avvelenamento della cache, ma non costituisce una soluzione completa per la tutela della sicurezza. Il protocollo DNSSEC non risolve molte delle minacce più comuni per la sicurezza di Internet, come spoofing o phishing. Per questo motivo, risultano estremamente importanti altri livelli di protezione, quali i certificati SSL e l'autenticazione a due fattori, per rendere l'ambiente di Internet sicuro per tutti. Torna all'inizio

In che modo un utente viene informato di un attacco? 
La community di Internet non ha ancora stabilito un sistema standardizzato in grado di informare gli utenti di un attacco. Una soluzione possibile consiste nello sviluppo di browser "DNSSEC-aware" in grado di notificare gli utenti quando vengono indirizzati a una destinazione autenticata. Torna all'inizio

In cosa consiste l'impegno di Verisign per implementare il protocollo DNSSEC? 
Nel luglio 2010, Verisign, in collaborazione con l'Internet Assigned Numbers Authority (IANA) e il Dipartimento del Commercio statunitense (DoC), ha completato la distribuzione del protocollo DNSSEC nella zona radice (punto di inizio della gerarchia DNS). Verisign ha inoltre abilitato il protocollo DNSSEC su .edu a luglio 2010, in collaborazione con EDUCAUSE e il Dipartimento del Commercio su .net a dicembre 2010 e su .com a marzo 2011. Torna all'inizio

Qual è la strategia di distribuzione del protocollo DNSSEC da parte di Verisign? 
La nostra strategia di distribuzione del protocollo DNSSEC prevede di iniziare con zone di piccole dimensioni quindi di valutare ciascuna distribuzione prima di passare alle zone successive. L'ultima zona a essere sottoscritta è stata la .com, in quanto è quella di maggiori dimensioni. Per gestire al meglio il dominio e ogni tipo di comunicazione o scambio commerciale via Internet, abbiamo voluto accumulare quanta più esperienza possibile. Torna all'inizio

Cosa occorre affinché il protocollo DNSSEC abbia successo? 
La distribuzione corretta del protocollo DNSSEC comporta vantaggi su vasta scala per la community globale di Internet, grazie all'aumento della fiducia in merito a diverse attività di Internet, tra cui e-commerce, banking online, e-mail, VoIP e distribuzione di software online. Tuttavia, l'intera community di Internet condivide la responsabilità di garantire il successo del protocollo DNSSEC. Il raggiungimento del successo richiede la partecipazione attiva e coordinata di registri, società di registrazione, registranti, società di hosting, sviluppatori di software, venditori di hardware, governo e coalizioni e tecnici di Internet. Torna all'inizio

Chi ha adottato o distribuito il protocollo DNSSEC? 
La zona radice di Internet, i domini di primo livello (TLD) .gov, .org, .museum e una serie di TLD con codice di paese (country code TLD - ccTLD), hanno firmato le zone che gestiscono. Altri TLD quali .edu, .net e .com hanno implementato il protocollo DNSSEC nel 2010 e nel 2011. I TLD hanno iniziato ad accettare nomi di dominio a firma DNSSEC di secondo livello. Gli ISP di grandi dimensioni come Comcast hanno attivato la convalida dei server dei nomi ricorsivi che rispondono alle query degli utenti e alcune società di registrazione hanno incluso l'implementazione del protocollo DNSSEC nella propria agenda. Inoltre, l'Internet Corporazione Internet per Nomi e Numeri Assegnati (ICANN) ha allestito applicazioni per i nuovi TLD, e sembrerebbe che i piani per l'implementazione DNSSEC costituiranno un requisito fondamentale per l'accettazione di una nuova richiesta TLD. Torna all'inizio

Dopo la distribuzione del protocollo DNSSEC, è ancora necessario il protocollo SSL (Secure Sockets Layer)? 
Nonostante sia il DNSSEC sia il protocollo SSL facciano affidamento sulla crittografia a chiave pubblica, eseguono entrambi diverse funzioni complementari, piuttosto che sostitutive l'una dell'altra.

In un modello estremamente semplicistico, il protocollo DNSSEC ha a che fare con il "dove" e il SSL con "chi" e "come".

• Dove—il protocollo DNSSEC utilizza le firme digitali per verificare l'integrità dei dati DNS, garantendo, in questo modo, che gli utenti raggiungano l'indirizzo IP desiderato. Tale compito può considerarsi completato quando l'utente raggiunge l'indirizzo. Il protocollo DNSSEC non fornisce l'identità dell'entità all'indirizzo e non esegue la crittografia delle interazioni tra utente e sito.
• Chi—il protocollo SSL utilizza i certificati digitali per convalidare l'identità di un sito. Quando questi certificati vengono pubblicati da competenti autorità di certificazione (CA) esterne, il protocollo SSL fornisce agli utenti garanzia dell'identità del proprietario del sito Web. Tuttavia, il protocollo SSL non esegue alcuna operazione per garantire che un utente raggiunga il sito corretto, pertanto non può essere applicato contro gli attacchi che reindirizzano gli utenti. In altre parole, la convalida di un sito da parte del protocollo SSL è efficace, ma solamente se un utente raggiunge prima la destinazione corretta.
• Come—il protocollo SSL utilizza i certificati digitali anche per crittografare gli scambi di dati tra utenti e siti, proteggendo, in questo modo, la riservatezza di transazioni finanziarie, comunicazioni, e-commerce e altre interazioni sensibili.

Se utilizzati insieme, i protocolli DNSSEC e SSL incrementano la sicurezza e l'affidabilità di Internet: gli utenti sono in grado di accertare in modo sicuro la propria destinazione, l'identità della figura con cui stanno interagendo e il livello di riservatezza delle interazioni. Torna all'inizio

Il protocollo DNSSEC è un requisito normativo o uno standard di settore? 
La nota 08-23 dell'Office of Management and Budget (OMB) statunitense ha stabilito che il protocollo DNSSEC sia distribuito nel dominio di primo livello .gov a partire da gennaio 2009 e che le agenzie federali degli Stati Uniti distribuiscano il protocollo DNSSEC sui siti esterni a partire da dicembre 2009. Il registro .gov è stato firmato nei primi mesi del 2009. La U.S. Defense Information Systems Agency intende raggiungere i requisiti relativi al protocollo DNSSEC stabiliti dall'OMB anche per il dominio .mil. La U.S. Le nuove disposizioni del Federal Information Security Management Act (FISMA) prevedono che le agenzie sottoscrivano le proprie zone intranet con il protocollo DNSSEC a partire dal secondo semestre del 2010. Attualmente,non vi sono requisiti per gli operatori dei siti Web pubblici al fine di garantire la sicurezza dei propri domini tramite il protocollo DNSSEC. Torna all'inizio

Come nasce il protocollo DNSSEC? 
1993: ha inizio la discussione sulla sicurezza DNS
1994: viene pubblicata la prima bozza di un possibile standard
1997: viene pubblicato il documento RFC 2065 (il protocollo DNSSEC è uno standard IETF)
1999: viene pubblicato il documento RFC 2535 (lo standard DNSSEC viene rivisto)
2005: viene pubblicata la nuova stesura completa degli standard
RFC 4033 (introduzione e requisiti)
RFC 4034 (record di nuove risorse)
RFC 4035 (modifiche protocollo)
Luglio 2010: firma della zona radice
Luglio 2010: firmato .edu
Dicembre 2010: firmato .net
Febbraio 2011: passaggio del registro .gov con abilitazione DNSSEC a Verisign
Marzo 2011: firmato .com
Marzo 2011: il servizio Managed DNS di Verisign è ottimizzato con il supporto completo per la conformità DNSSEC
Gennaio 2012: Comcast annuncia che i propri clienti stanno utilizzando resolver con convalida DNSSEC
Marzo 2012: il numero di TLD firmati sale a 90

Torna all'inizio

Risposte delle società di registrazione

Come inciderà l'implementazione del protocollo DNSSEC sulle società di registrazione? 
Le società di registrazione dovranno firmare i nomi di dominio per i propri clienti (registranti). L'abilitazione del protocollo DNSSEC per un registrante implica la creazione di coppie di chiavi pubblica/privata, la creazione e la firma della zona e la gestione delle coppie di chiavi. Tali processi garantiscono che i resolver con abilitazione DNSSEC nell'ecosistema di Internet possano verificare l'autenticità delle risposte ricevute dalla zona. Le società di registrazione devono inoltre modificare l'interfaccia perché i propri clienti accettino i dati chiave DNSSEC. Inoltre, le società di registrazione devono modificare l'interfaccia del protocollo EPP (Extensible Provisioning Protocol) per trasferire i dati chiave DNSSEC ai registri con cui interagiscono. Torna all'inizio

Come sta operando Verisign a supporto delle società di registrazione per domini .com/.net? 
Verisign si impegna ad abbassare i costi di implementazione del protocollo DNSSEC per le società di registrazione e a fornire assistenza agli affiliati di tali società per stabilire le proprie strategie di distribuzione del DNSSEC. Verisign fornisce un certo numero di strumenti, attività formative, servizi e attività di supporto per aiutare le società di registrazione con i propri processi di gestione più importanti e per la distribuzione del protocollo DNSSEC nei server DNS.

Tali strumenti di supporto includono:

• Un ambiente di test operativo per .net / .com, che garantisca alle società di registrazione il corretto funzionamento dell'implementazione DNSSEC.
• Tutorial DNSSEC forniti dal Technical Boot Camp.
• Un kit di sviluppo software (SDK) e lo strumento EPP. Accesso a SDK EPP.
• Il forum tecnico DNSSEC.
• Una guida allo strumento DNSSEC, che fornisce una panoramica degli strumenti open source relativi al protocollo DNSSEC e delle suite di automazione disponibili nel settore.
• Uno strumento scaricabile basato sulla riga di comando che consente alle società di registrazione di sfruttare alcuni strumenti open source comuni per semplificare la gestione delle zone DNSSEC e DNS.
• White paper relativi alle modalità dei trasferimenti per le società di registrazione in ambienti predisposti per il protocollo DNSSEC (tramite il forum tecnico DNSSEC).

Torna all'inizio

I consumatori possono acquistare il protocollo DNSSEC? Come funziona? 
Verisign ha investito nel protocollo DNSSEC per rafforzare l'infrastruttura Internet. Le società di registrazione e/o i fornitori di servizi possono scegliere di sviluppare servizi per abilitare il protocollo DNSSEC per i propri clienti. Il mercato determinerà il modello. Torna all'inizio

Risposte di ISP, venditori e operatori di siti Web (registranti)

Cosa devono fare i fornitori di servizi Internet (Internet service providers - ISP)? 
Per favorire la diffusione del protocollo DNSSEC nell'ecosistema Internet, i fornitori di servizi internet devono abilitare il DNSSEC nei propri server di nomi ricorsivi e garantire la compatibilità della propria infrastruttura di rete (es. firewall, router, parametri e servizi di bilanciamento del carico) con le risposte DNS più importanti generate dal protocollo DNSSEC.

La maggior parte dei server di nomi ricorsivi disponibili in commercio già supporta il protocollo DNSSEC e richiede soltanto un aggiornamento o una modifica dei parametri. Tuttavia, le società di registrazione potrebbero dover aggiornare o sostituire i server dei nomi obsoleti e i dispositivi di rete esistenti. Torna all'inizio

Che ruolo hanno i venditori di hardware in merito al protocollo DNSSEC? 
Il protocollo DNSSEC introduce complesse modifiche nell'intero ecosistema di Internet. Per garantire che gli utenti Internet traggano vantaggio da questo ulteriore livello di sicurezza di Internet, i produttori di prodotti dell'infrastruttura Internet, quali firewall, router e altri dispositivi, devono garantire che questi prodotti risultino compatibili con il protocollo DNSSEC. Il corretto funzionamento di tali prodotti influenza ogni utente che si connette a Internet, tra cui grandi aziende, ISP, utenti domestici e altri clienti. Torna all'inizio

In che modo gli sviluppatori software possono supportare il protocollo DNSSEC? 
I prodotti software che eseguono il DNS e le applicazioni per utenti finali come browser ed e-mail sono parte integrante dell'uso innovativo ed efficace di Internet. Società di registrazione, ISP e utenti finali necessitano di soluzioni che integrino le funzionalità DNSSEC nel software. Creando prodotti in grado di riconoscere il protocollo DNSSEC e sviluppando strumenti per semplificare la gestione del protocollo DNSSEC, gli sviluppatori di software contribuiranno all'adozione globale del DNSSEC.

Opportunità a valore aggiunto per il cliente esistono a livello del sistema operativo del server DNS e del client, nonché a livello di applicazione per l'utente finale. Ad esempio, società di registrazione, ISP e servizi di Web hosting richiedono soluzioni per semplificare la firma delle zone DNSSEC e la gestione delle chiavi. Inoltre, hanno l'esigenza di trovare un metodo per indicare la convalida DNSSEC agli utenti finali, ad esempio visualizzando una coda nei browser Web. Torna all'inizio

Cos'è Verisign DNSSEC Interoperability Lab? 
Il DNSSEC Interoperability Lab di Verisign ha consentito ai membri della community IT di verificare la compatibilità dei componenti delle infrastrutture aziendali e Internet con il protocollo DNSSEC.

Utilizzando la struttura per il test, i venditori hardware e gli sviluppatori software hanno potuto stabilire l'eventuale impatto del protocollo DNSSEC sulle soluzioni e i servizi da loro offerti. Torna all'inizio

Come possono abilitare il protocollo DNSSEC gli operatori di siti Web (registranti)? 
Il protocollo DNSSEC si basa su una gerarchia di affidabilità. Entità a livelli superiori della gerarchia garantiscono per le entità a livelli inferiori. Ciò significa che l'entità che ha fornito il nome di dominio di un operatore di siti Web (di solito una società di registrazione, un ISP oppure un servizio di hosting DNS) deve implementare il protocollo DNSSEC prima che l'operatore di siti Web lo abiliti.

Per abilitare il protocollo DNSSEC per il proprio sito Web, gli operatori di siti Web devono eseguire una firma digitale sulle informazioni del proprio nome di dominio. Nella maggior parte dei casi, potranno acconsentire all'esecuzione di questo processo al momento della registrazione del nome di dominio. Se gli operatori di siti Web hanno già registrato il nome di dominio e scelgono di implementare il protocollo DNSSEC per la propria zona, la propria società di registrazione abilitata per il protocollo DNSSEC avrà a sua volta la possibilità di modificare i record della zona dopo la registrazione.

Alcune organizzazioni potrebbero avere l'esigenza di amministrare parti del processo DNSSEC internamente, per motivi di sicurezza o di conformità. In questo caso, l'abilitazione del protocollo DNSSEC risulta più complessa. Torna all'inizio

Che ruolo svolgono i responsabili delle decisioni nel successo del protocollo DNSSEC? 
Il protocollo DNSSEC è più efficace se implementato a livello globale, partendo dai livelli più alti della gerarchia Internet (la zona principale e i domini di primo livello) per arrivare ai nomi di dominio individual. Come altre campagne internazionali, anche il protocollo DNSSEC richiede la partecipazione attiva e coordinata di diverse organizzazioni e paesi.

Le dimensioni, la complessità e l'impatto di un utilizzo del protocollo DNSSEC a livello globale indicano che i responsabili delle decisioni nel settore pubblico e privato svolgono un ruolo fondamentale per il successo di questo protocollo. Lavorando a livello nazionale e internazionale nei settori relativi a telecomunicazioni, standard tecnici, commercio, pubblica sicurezza e sicurezza nazionale, i responsabili delle decisioni hanno visibilità e possono influire positivamente sulla diffusione del protocollo DNSSEC. Torna all'inizio