Veelgestelde vragen over DNSSEC  

DNS (Domeinnaamsysteem)

Wat is DNS?
Hoe werkt DNS?
Waarom is DNS kwetsbaar?
Wat is cache-poisoning?
Wat zijn MITM-aanvallen (man-in-the-middle)?

DNSSEC

Wat doet DNSSEC?
Wie profiteert er van DNSSEC?
Hoe werkt DNSSEC?
In hoeverre is DNSSEC een oplossing voor het hele vraagstuk van internetbeveiliging?
Hoe wordt een gebruiker op de hoogte gesteld van een aanval?
Wat doet Verisign voor de implementatie van DNSSEC?
Wat is de DNSSEC-implementatiestrategie van Verisign?
Wat is er nodig om DNSSEC te laten slagen?
Wie heeft DNSSEC opgenomen of geïmplementeerd?
Heb ik nog steeds een SSL (Secure Sockets Layer) nodig nadat DNSSEC is geïmplementeerd?
Is DNSSEC wettelijk of conform industriestandaarden verplicht?
Wat is de geschiedenis van DNSSEC?

Registrars

Welke impact heeft de implementatie van DNSSEC op registrars?
Wat doet Verisign om .com- en .net-registrars te helpen?
Kunnen consumenten DNSSEC aankopen? Hoe werkt het?

ISP's, leveranciers en websiteoperators (inschrijvers)

Wat moeten IPS's (internetaanbieders) doen?
Welke rol spelen hardwareleveranciers bij DNSSEC?
Hoe kunnen softwareontwikkelaars ondersteuning bieden voor DNSSEC?
Wat is het Verisign DNSSEC Interoperability Lab?
Hoe kunnen websiteoperators DNSSEC activeren?
Welke rol spelen beleidsmakers bij het succes van DNSSEC?

 

Antwoorden over DNS (Domeinnaamsysteem)

Wat is DNS? 
DNS is het adresseringssysteem voor het internet. Vrijwel alles dat met het internet communiceert (computers, mobiele apparaten, laptops, geldautomaten en kassaterminals), is afhankelijk van DNS-services voor de uitwisseling van informatie. DNS maakt gebruik van gespecialiseerde servers om namen zoals www.verisigninc.com te vertalen (of om te zetten) naar numerieke adressen, zodat gegevens hun bestemming kunnen bereiken. Alle internettoepassingen, van websites, e-mail, sociale netwerken en onlinebankieren tot VoIP (Voice-over Internet Protocol), bestandsdeling en video-op-aanvraag, zijn afhankelijk van de nauwkeurigheid en integriteit van deze vertaling. Zonder DNS kan het internet niet functioneren. DNS is onontbeerlijk voor de cruciale infrastructuur, onlinebedrijfsactiviteiten en financiële transacties, evenals alle internetcommunicatie. Terug naar boven

Hoe werkt DNS? 
De domeinnaamruimte bestaat uit een structuur van domeinnamen, die is onderverdeeld in zones. Het bovenste niveau, of de rootzone, valt onder het bestuur van het Amerikaanse ministerie van Economische Zaken en wordt gezamenlijk beheerd door Verisign en de functieoperator van IANA (Internet Assigned Numbers Authority), die de gegevens op de hoofdnaamservers onderhoudt. Meer informatie over DNS.

Een DNS-zone bestaat uit een verzameling verbonden knooppunten die onder een gezaghebbende naamserver vallen. Gezaghebbende naamservers voor verschillende zones zijn verantwoordelijk voor publicatie van de domeinnamen naar IP-adressen. Elk knooppunt of 'blad' in de structuur heeft nul of meer bronrecords die informatie bevatten over de domeinnaam. Elke domeinnaam eindigt met een TLD (topleveldomein) zoals .com of .tv.

Er moet één gezaghebbende locatie voor registratie van een domeinnaam zijn om te zorgen dat het internet goed functioneert en om dubbele domeinnamen te voorkomen. Elk TLD heeft een gezaghebbend register, waarmee een gecentraliseerde database wordt beheerd. Het register geeft de informatie over domeinnamen en IP-adressen door in TLD-zonebestanden. TLD-zonebestanden wijzen actieve domeinnamen op het tweede niveau (het deel van de domeinnaam dat voorafgaat aan de punt) toe aan de unieke IP-adressen van de naamservers. Meer informatie over domeinnamen en registratie. Terug naar boven

Waarom is DNS kwetsbaar? 
DNS-omzetting is het proces waarbij een domeinnaam wordt vertaald naar een IP-adres. Wanneer iemand een domeinnaam, zoals www.verisigninc.com, in een webbrowser typt, neemt de browser contact op met een naamserver om het bijbehorende IP-adres op te halen. Er zijn twee soorten naamservers: gezaghebbende naamservers die volledige informatie over een zone opslaan, en recursieve naamservers, die DNS-query's voor internetgebruikers beantwoorden en DNS-antwoordresultaten voor een bepaalde periode opslaan. Wanneer een recursieve naamserver een antwoord ontvangt, wordt dit in de cache opgeslagen om vervolgquery's sneller te kunnen uitvoeren. Een cache helpt om het aantal informatieverzoeken te reduceren, maar is kwetsbaar voor man-in-the-middle-aanvallen.

Als gevolg van deze aanvallen kunnen cybercriminelen:

• E-mailsvkapen
• VoIP (Voice-over IP) afluisteren
• Websites imiteren
• Wachtwoorden en aanmeldingsgegevens stelen
• Creditcardgegevens en andere vertrouwelijke informatie te weten komen

Meer informatie over bedreigingen van het DNS-systeem. Terug naar boven

Wat is cache-poisoning? 
Cache-poisoning treedt op wanneer frauduleuze DNS-gegevens in de cache van een recursieve naamserver worden geplaatst. Recursieve naamservers slaan gegevens die tijdens het naamomzettingsproces zijn achterhaald, tijdelijk op (in de cache), maar zonder DNSSEC kan de geldigheid en nauwkeurigheid van deze gegevens niet worden geverifieerd. Wanneer kwaadaardige gegevens in de cache van de recursieve naamserver worden geplaatst, wordt de server als 'geïnfecteerd' beschouwd. Door middel van cache-poisoning kan een aanvaller verkeer naar frauduleuze sites omleiden. Terug naar boven

Wat zijn MITM-aanvallen (man-in-the-middle)? 
Een MITM-aanval onderschept en wijzigt heimelijk communicatie tussen twee systemen. De aanvaller kan de communicatie mogelijk zodanig wijzigen dat verkeer naar een ongeldig(e) adres of website wordt omgeleid. Eindgebruikers merken de 'man in the middle' niet op en gaan ervan uit dat ze rechtstreeks met de bedoelde bestemming communiceren. Terug naar boven

DNSSEC-antwoorden

Wat doet DNSSEC? 
DNSSEC beschermt de internetcommunity tegen vervalste DNS-gegevens door openbare-sleutelcryptografie te gebruiken om gegevens van de gezaghebbende zone digitaal te ondertekenen. DNSSEC-validatie verzekert gebruikers dat de gegevens afkomstig zijn van de opgegeven bron en bij de overdracht niet zijn gewijzigd. DNSSEC kan ook bewijzen dat een domeinnaam niet bestaat.

Hoewel DNSSEC de beveiliging van DSN verhoogt, is het geen allesomvattende oplossing. DNSSEC biedt geen bescherming tegen gedistribueerde DDoS-aanvallen (Distributed Denial of Service), geen garantie van vertrouwelijkheid bij gegevensuitwisseling, geen codering van websitegegevens en kan spoofing en phishing van IP-adressen niet voorkomen. Andere beveiligingslagen, zoals DDos-risicobeperking, risicobeperking van fraude met beveiligingsgegevens, SSL-codering (Secure Sockets Layer), sitevalidatie en verificatie op basis van twee factoren, zijn cruciaal bij het veiliger maken van het internet. Deze mechanismen moeten in combinatie met DNSSEC worden gebruikt. Terug naar boven

Wie profiteert er van DNSSEC? 
DNSSEC is op elk onderdeel in het ecosysteem van de internetinfrastructuur van toepassing. Voor een doeltreffende implementatie is de deelname van vele aandeelhouders binnen de internetcommunity vereist. Registers, registrars, domeinnaaminschrijvers, hardware- en softwareleveranciers, ISP's, overheidsinstanties en gewone internetgebruikers spelen allen een rol in het garanderen van succes en kunnen cruciale verbeteringen in internetbeveiliging bewerkstelligen.

DNSSEC biedt voordelen voor:

• de internetcommunity door beveiliging in ondertekende zones te verbeteren.
• registrars die services voor het ondertekenen van domeinen aan hun klanten kunnen bieden.
• ISP's door de beveiliging van de gegevens die aan hun klanten worden geretourneerd, te verhogen.
• gebruikers door ze te beschermen tegen DNS-kwetsbaarheden zoals cache-poisoning en man-in-the-middle-aanvallen.

Terug naar boven

Hoe werkt DNSSEC? 
Bij DNSSEC heeft elke zone een openbaar en persoonlijk sleutelpaar. De openbare sleutel van de zone wordt gepubliceerd met DNS, terwijl de persoonlijke sleutel op een veilige plaats wordt bewaard, bij voorkeur offline. Individuele DNS-gegevens in een zone worden ondertekend door de persoonlijke sleutel van deze zone. Hiermee worden digitale handtekeningen gemaakt die ook met DNS worden gepubliceerd.

DNSSEC maakt gebruik van een strikt vertrouwensmodel en deze vertrouwensketen strekt zich uit van de bovenliggende zone naar de onderliggende zone. Hogerliggende (bovenliggende) zones ondertekenen (of staan in voor) de openbare sleutels van lagere (onderliggende) zones. De gezaghebbende naamservices voor deze zones kunnen worden beheerd door registrars, ISP's, bedrijven voor webhosting of websiteoperators (inschrijvers).

Wanneer een eindgebruiker een website wil oproepen, vraagt de stub-conflictoplosser binnen het besturingssysteem van de gebruiker de domeinnaamrecord op bij een recursieve naamserver op een ISP. Nadat de server deze record heeft aangevraagd, wordt ook de DNSSEC-sleutel aangevraagd die aan de zone is gekoppeld. Met behulp van deze sleutel kan de server verifiëren dat de ontvangen informatie identiek is aan de record op de gezaghebbende naamserver.

Als met de recursieve naamserver wordt bepaald dat de adresrecord door de gezaghebbende naamserver is verzonden en tijdens de overdracht niet is gewijzigd, wordt de domeinnaam hersteld en krijgt de gebruiker toegang tot de site. Dit proces wordt validatie genoemd. Als de adresrecord is gewijzigd of niet van de vermelde bron afkomstig is, verleent de recursieve naamserver de gebruiker geen toegang tot het frauduleuze adres. DNSSEC kan ook bewijzen dat een domeinnaam niet bestaat. Terug naar boven

In hoeverre is DNSSEC een oplossing voor het hele vraagstuk van internetbeveiliging? 
Het concept internetbeveiliging bestaat uit vele factoren. Met DNSSEC kunnen beveiligingsrisico's die ontstaan door man-in-the-middle-aanvallen en cache-poisoning worden beperkt, maar dit is geen allesomvattende beveiligingsoplossing. DNSSEC biedt geen oplossing voor veel van de meest voorkomende internetbedreigingen, zoals spoofing of phishing. Daarom zijn andere beschermingslagen, zoals SSL-certificaten en verificatie op basis van twee factoren, cruciaal om het internet voor iedereen een veilige plaats te maken. Terug naar boven

Hoe wordt een gebruiker op de hoogte gesteld van een aanval? 
De internetcommunity heeft nog geen gestandaardiseerd systeem ontwikkeld om gebruikers bij een aanval op de hoogte te stellen. Een van de mogelijke oplossingen is de ontwikkeling van "DNSSEC-bewuste" browsers die gebruikers op de hoogte stellen wanneer ze naar een geverifieerde bestemming zijn gebracht. Terug naar boven

Wat doet Verisign voor de implementatie van DNSSEC? 
In juli 2010 heeft Verisign in samenwerking met de IANA (Internet Assigned Numbers Authority) en het Amerikaanse ministerie van Economische zaken de implementatie van DNSSEC in de hoofdzone hoofdniveau voltooid (het beginpunt van de DNS-hiërarchie). In juli 2010 heeft Verisign in samenwerking met EDUCAUSE en het Amerikaanse ministerie van Economische Zaken ook de DNSSEC voor .edu geactiveerd, in december 2010 voor .net en in maart 2011 voor .com. Terug naar boven

Wat is de DNSSEC-implementatiestrategie van Verisign? 
Onze DNSSEC-implementatiestrategie begon met de kleinere zones en evalueerde elke implementatie, zodat de opgedane kennis op de volgende zone kon worden toegepast. Aangezien de .com-zone het grootst is, hebben we die als laatste ondertekend. We wilden zoveel mogelijk ervaring opdoen voordat we het domein onder handen namen dat het merendeel van de onlinehandel en -communicatie verwerkt. Terug naar boven

Wat is er nodig om DNSSEC te laten slagen? 
Een geslaagde implementatie van DNSSEC heeft verreikende voordelen voor de hele internetcommunity, met een groter vertrouwen in een groot aantal internetactiviteiten zoals e-commerce, onlinebankieren, e-mail, VoIP en onlinesoftwaredistributie. De hele internetcommunity draagt echter de verantwoordelijkheid voor een geslaagde implementatie van DNSSEC. Hiervoor moeten registers, registrars, inschrijvers, hosting-bedrijven, softwareontwikkelaars, hardwareleveranciers, de overheid, deskundigen op het gebied van internettechnologie en coalities actief en gecoördineerd meewerken. Terug naar boven

Wie heeft DNSSEC opgenomen of geïmplementeerd? 
De TLD's (topleveldomeinen) op het hoofdniveau van het internet, zoals .gov, .org en .museum, evenals een aantal ccTLD's (landcode-TLD's), hebben de zones ondertekend die ze beheren. Andere TLD's zoals .edu, .net en .com hebben DNSSEC in 2010/2011 geïmplementeerd. Deze TLD's accepteren sinds kort ook domeinnamen op het tweede niveau die met DNSSEC zijn ondertekend. Grote ISP's zoals Comcast hebben validatie geactiveerd op de recursieve naamservers die gebruikersquery's beantwoorden en enkele registrars hebben DNSSEC-implementatie in hun planning opgenomen. Bovendien heeft ICANN (Internet Corporation for Assigned Names and Numbers) inschrijvingen voor nieuwe TLD's geaccepteerd, en is het waarschijnlijk dat plannen voor de implementatie van DNSSEC een vereiste zullen zijn voor aanvaarding van een nieuw TLD-verzoek. Terug naar boven

Heb ik nog steeds een SSL (Secure Sockets Layer) nodig nadat DNSSEC is geïmplementeerd? 
Hoewel DNSSEC en SSL beide afhankelijk zijn van openbare-sleutelcryptografie, voeren ze zeer verschillende functies uit die elkaar niet vervangen maar juist aanvullen.

Heel simpel gezegd verwerkt DNSSEC 'waar' en SSL 'wie' en 'hoe'.

• Waar—DNSSEC gebruikt digitale handtekeningen om DNS-gegevensintegriteit te verifiëren, zodat gebruikers het bedoelde IP-adres bereiken. De taak van DNSSEC is voltooid wanneer de gebruiker het adres bereikt. DNSSEC biedt geen garantie voor de identiteit op het adres en codeert geen interactie tussen de gebruiker en de site.
• Wie—SSL gebruikt digitale certificaten om de identiteit van een site te valideren. Wanneer deze certificaten zijn uitgegeven door betrouwbare certificeringsinstanties van derden, stelt SSL gebruikers op de hoogte van de identiteit van de website-eigenaar. SSL neemt echter geen actie om te zorgen dat een gebruiker de juiste site bereikt en kan dus niet worden gebruikt tegen aanvallen waarbij gebruikers worden omgeleid. Met andere woorden, SSL-sitevalidering is alleen doeltreffend als de gebruiker de juiste bestemming bereikt.
• Hoe—SSL maakt ook gebruik van digitale certificaten om gegevensuitwisselingen tussen een gebruiker en site te coderen, waardoor de vertrouwelijkheid van financiële transacties, communicatie, e-commerce en andere vertrouwelijke interacties wordt beschermd.

DNSSEC en SSL verhogen samen de veiligheid en het vertrouwen op het internet. Gebruikers kunnen zich verzekeren van hun bestemming, met wie ze communiceren en hoe vertrouwelijk hun interacties zijn. Terug naar boven

Is DNSSEC wettelijk of conform industriestandaarden verplicht? 
In de VS heeft memo 08-23 van het OMB (Office of Management and Budget) verplicht gesteld dat DNSSEC in januari 2009 op het bovenste niveau van het .gov-domein moet zijn geïmplementeerd, en dat Amerikaanse overheidsinstanties tegen december 2009 DNSSEC op externe sites moeten hebben geïmplementeerd. Het .gov-register is begin 2009 ondertekend. Het Amerikaanse Defense Information Systems Agency beoogt ook in het .mil-domein aan OMB DNSSEC-vereisten te voldoen. De Amerikaanse nieuwe FISMA-reglementen (Federal Information Security Management Act) hebben instanties aangespoord om halverwege 2010 hun intranetzones met DNSSEC te ondertekenen. Er zijn momenteel geen vereisten voor operators van openbare websites om hun domein met DNSSEC te beveiligen. Terug naar boven

Wat is de geschiedenis van DNSSEC? 
1993: Eerste discussie over beveiligde DNS
1994: Eerste concept voor mogelijke standaard gepubliceerd
1997: RFC 2065 gepubliceerd (DNSSEC is een IETF-standaard)
1999: RFC 2535 gepubliceerd (DNSSEC-standaard herzien)
2005: Volledig herschreven standaarden gepubliceerd
RFC 4033 (Introductie en vereisten)
RFC 4034 (Nieuwe bronrecords)
RFC 4035 (Protocolwijzigingen)
Juli 2010: Hoofdniveau ondertekend
Juli 2010: .edu ondertekend
December 2010: .net ondertekend
Februari 2011: DNSSEC-.gov-register gaat over op Verisign
Maart 2011: .com ondertekend
Maart 2011: Verisign-beheerde DNS-service wordt verbeterd met volledige ondersteuning voor DNSSEC-naleving
Januari 2012: Comcast kondigt aan dat zijn klanten DNSSEC-validatieresolvers gebruiken
Maart 2012: Aantal ondertekende TLD's stijgt tot 90

Terug naar boven

Antwoorden voor registrars

Welke impact heeft de implementatie van DNSSEC op registrars? 
Registrars moeten de domeinnamen voor hun klanten (inschrijvers) ondertekenen. Als u DNSSEC wilt inschakelen voor een inschrijver, moet u openbare/persoonlijke sleutelparen voor de domeinnaam maken, de zone maken en ondertekenen en de sleutelparen beheren. Met deze processen wordt ervoor gezorgd dat DNSSEC-resolvers binnen het internetecosysteem de authenticiteit kunnen verifiëren van antwoorden die via de zone worden ontvangen. Registrars moeten ook de interface met hun klanten wijzigen, zodat DNSSEC-sleutelgegevens worden geaccepteerd. Bovendien moeten ze hun EP(Verlengbaar leveringsprotocol)-interface wijzigen zodat DNSSEC-sleutelgegevens worden doorgegeven aan de registers waarmee ze communiceren. Terug naar boven

Wat doet Verisign om .com- en .net-registrars te helpen? 
Verisign is erop gericht de kosten van de DNSSEC-implementatie voor registrars te verlagen en onze registrar-filialen te helpen een DNSSEC-implementatiestrategie te bepalen. Verisign biedt een aantal tools, trainingen, services en ondersteuningsopties om registrars te helpen met de belangrijkste managementprocessen en met de implementatie van DNSSEC op hun DNS-servers.

Deze ondersteuning bestaat uit:

• Een Operationele testomgeving voor .net/.com, zodat registrars kunnen controleren of hun DNSSEC-implementatie goed werkt.
• DNSSEC-studielessen van de Technical Boot Camp.
• Een SDK (Softwarekit voor ontwikkelaars) en EPP-tool. Toegang tot de EPP SDK.
• Het technische forum voor DNSSEC.
• Een handleiding voor DNSSEC-tools, waarin u een overzicht vindt van open-sourcetools voor DNSSEC en automatiseringssuites die verkrijgbaar zijn op de markt.
• Een downloadbare opdrachtregeltool waarmee registrars bepaalde veelgebruikte open-sourcetools kunnen gebruiken om het beheer van DNSSEC- en DNS-zones te vereenvoudigen.
• informatieve documenten over de wijze waarop registrar-overdracht plaatsvindt in een DNSSEC-omgeving (via het technische forum voor DNSSEC).

Terug naar boven

Kunnen consumenten DNSSEC aankopen? Hoe werkt het? 
Verisign heeft in DNSSEC geïnvesteerd om de infrastructuur van het internet te beveiligen. Registrars en/of serviceproviders kunnen services ontwikkelen om DNSSEC voor hun klanten te activeren. De markt is de bepalende factor voor het model. Terug naar boven

Antwoorden voor ISP's, leveranciers en websiteoperators (inschrijvers)

Wat moeten ISP's (internetaanbieders) doen? 
Voor verspreiding van DNSSEC in het ecosysteem van het internet moeten ISP's DNSSEC activeren op hun recursieve naamservers en zorgen dat hun netwerkinfrastructuur (bijv. firewalls, routers, switchers en load balancers) compatibel is met het grotere aantal DNS-responses die DNSSEC genereert.

De meeste commercieel beschikbare recursieve naamservers bieden al ondersteuning voor DNSSEC en vereisen alleen een update of parameterwijziging. Registrars moeten verouderde naamservers en bestaande netwerkapparaten misschien upgraden of vervangen. Terug naar boven

Welke rol spelen hardwareleveranciers bij DNSSEC? 
DNSSEC introduceert complexe wijzigingen in het volledige internetecosysteem. Om ervoor te zorgen dat internetgebruikers baat hebben bij deze extra laag internetbeveiliging, moeten fabrikanten van producten voor de internetinfrastructuur, zoals firewalls, routers en andere apparaten, zorgen dat hun apparatuur compatibel is met DNSSEC. De correcte werking van deze producten is van invloed op vrijwel idereen die verbinding maakt met het internet, inclusief bedrijven, internetaanbieders, particuliere gebruikers en andere klanten. Terug naar boven

Hoe kunnen softwareontwikkelaars ondersteuning bieden voor DNSSEC? 
De softwareproducten waarop de DNS wordt uitgevoerd, evenals eindgebruikertoepassingen zoals browsers en e-mailtoepassingen, vormen een integraal onderdeel van een doeltreffend, innovatief gebruik van het internet. Registrars, internetaanbieders en eindgebruikers hebben oplossingen nodig waarbij DNSSEC-mogelijkheden in deze software worden geïntegreerd. Door DNSSEC-bewuste producten te maken en tools te ontwikkelen die DNSSEC-beheer vereenvoudigen, helpen softwareontwikkelaars de globale acceptatie van DNSSEC.

De mogelijkheden voor het creëren van klantwaarde liggen op het niveau van het DNS-serverbesturingssysteem, het clientbesturingssysteem en de toepassingen voor eindgebruikers. Registrars, internetaanbieders en webhostingservices hebben oplossingen nodig om de ondertekening en het sleutelbeheer van DNSSEC-zones te vereenvoudigen. Daarnaast hebben ze een manier nodig om DNSSEC-validatie aan eindgebruikers door te geven, mogelijk door de weergave van een visuele hint in webbrowsers. Terug naar boven

Wat is het Verisign DNSSEC Interoperability Lab? 
In het Verisign DNSSEC Interoperability Lab kunnen leden van de IT-community compatibiliteit van hun ondernemingsinfrastructuur- en internetonderdelen en DNSSEC testen.

Met behulp van de testfaciliteit kunnen hardwareleveranciers en softwareontwikkelaars de eventuele impact bepalen van DNSSEC op de oplossingen en services in hun assortiment. Terug naar boven

Hoe kunnen websiteoperators (inschrijvers) DNSSEC activeren? 
DNSSEC is gebaseerd op een vertrouwenshiërarchie. Entiteiten op hogere niveaus van de hiërarchie waarborgen de entiteiten eronder. Dit betekent dat de entiteit die de domeinnaam van een websiteoperator heeft geleverd (meestal een registrar, ISP of DNS-hostingservice), DNSSEC moet implementeren voordat de websiteoperator DNSSEC kan activeren.

Websiteoperators moeten hun domeinnaamgegevens digitaal ondertekenen om DNSSEC voor hun website te kunnen activeren. In de meeste gevallen kunnen ze gewoon de optie voor dit proces kiezen bij registratie van hun domeinnaam. Als ze hun domeinnaam al hebben geregistreerd en DNSSEC voor hun zone willen implementeren, heeft hun DNSSEC-registrar hoogstwaarschijnlijk een proces om zonerecords na registratie te wijzigen.

Sommige organisaties moeten delen van het DNSSEC-proces mogelijk intern wijzigen om veiligheids- of nalevingsredenen. In dit geval is de activering van DNSSEC een gecompliceerder proces. Terug naar boven

Welke rol spelen beleidsmakers bij het succes van DNSSEC? 
DNSSEC is uiterst effectief bij een universele implementatie die bovenaan de internethiërarchie begint (de hoofdzone en TLD's) en naar beneden wordt afgewerkt tot de individuele domeinnamen. Net als bij andere internationale campagnes is het succes van DNSSEC afhankelijk van de actieve en gecoördineerde deelname van veel organisaties en landen.

De grootte, complexiteit en impact van een globale DNSSEC-inzet geeft aan dat de beleidsmakers in de particuliere en overheidssector een belangrijke rol spelen bij het succes van DNSSEC. Beleidsmakers die op nationaal en internationaal niveau werkzaam zijn op het gebied van telecommunicatie, technische standaarden, handel, wetshandhaving en nationale beveiliging en defensie, hebben de kennis, invloed en het vermogen om het momentum en de koers van DNSSEC positief te beïnvloeden. Terug naar boven