Questão de Segurança da Informação — Tópicos Mesclados de Protocolos Seguros — CESPE / CEBRASPE 2025

DNSSEC: proteção contra DNS spoofing

✅ CERTO. O item está correto: o DNSSEC (Domain Name System Security Extensions) é um conjunto de extensões de segurança do DNS projetado justamente para proteger a integridade e a autenticidade das respostas DNS, utilizando assinaturas digitais baseadas em criptografia assimétrica (chave pública/privada). Essa é a definição técnica consagrada do protocolo, e a banca a reproduziu com precisão.

O DNS (Domain Name System) é o serviço que traduz nomes de domínio (como www.exemplo.com) em endereços IP. Por ser um protocolo antigo e sem mecanismos nativos de segurança, ele é vulnerável a diversos ataques, entre eles o DNS spoofing (também chamado de envenenamento de cache). Nesse ataque, um invasor insere registros DNS falsos na cache de um resolvedor, fazendo com que o usuário seja direcionado para um site malicioso, mesmo digitando o endereço correto. O objetivo é redirecionar o tráfego para servidores controlados pelo atacante, possibilitando roubo de credenciais, instalação de malware ou interceptação de comunicações.

O DNSSEC foi desenvolvido exatamente para mitigar esse tipo de ataque. Ele adiciona autenticação e integridade às respostas DNS por meio de assinaturas digitais. O funcionamento é o seguinte: cada zona DNS possui um par de chaves assimétricas (pública e privada). A autoridade da zona assina digitalmente os registros DNS com sua chave privada. Quando um resolvedor consulta um registro, ele recebe a resposta acompanhada da assinatura. O resolvedor, de posse da chave pública da zona (obtida de forma confiável, via cadeia de confiança), verifica a assinatura. Se a assinatura for válida, o resolvedor tem a garantia de que a resposta não foi alterada no caminho (integridade) e que realmente veio da autoridade legítima (autenticidade).

A criptografia assimétrica é o alicerce do DNSSEC. Nela, existem duas chaves matematicamente relacionadas: uma pública, que pode ser distribuída livremente, e uma privada, que deve ser mantida em segredo. O que é cifrado com uma chave só pode ser decifrado com a outra. No DNSSEC, a chave privada é usada para assinar os dados (gerando a assinatura digital), e a chave pública é usada para verificar a assinatura. Isso garante que qualquer alteração nos dados, mesmo que mínima, invalide a assinatura, pois a verificação falharia. É importante notar que o DNSSEC não fornece confidencialidade (não cifra as consultas), apenas autenticidade e integridade — essa é uma distinção clássica cobrada em provas.

A banca explora exatamente a confusão entre os objetivos de segurança. O candidato pode pensar que o DNSSEC cifra as consultas (confidencialidade), mas o protocolo atua na autenticidade e integridade, por meio de assinaturas digitais. O item afirma exatamente isso, sem qualquer erro conceitual. Portanto, a assertiva está correta.

Item — ✅ Correto

A afirmação descreve com precisão o papel do DNSSEC: prevenir ataques de DNS spoofing, protegendo a integridade e a autenticidade das consultas DNS, utilizando assinaturas digitais baseadas em criptografia assimétrica. Todos os elementos estão corretos:

• Prevenção contra DNS spoofing: o DNSSEC foi criado para isso, ao autenticar as respostas DNS.

• Integridade e autenticidade: são exatamente as propriedades garantidas pelas assinaturas digitais.

• Assinaturas digitais com criptografia assimétrica: o DNSSEC usa o par de chaves pública/privada para assinar e verificar os dados.

Não há qualquer erro técnico no item. A banca cobrou um conceito fundamental de segurança de redes, e a assertiva está em conformidade com a literatura especializada.

Gabarito: ✅ CERTO