Ein Unternehmen wird eine sichere Webanwendung auf mehreren EC2-Instances hosten und verfügt über eine Route 53 Hosted Zone für die Domain der Anwendung. Das Unternehmen möchte die Domain vor DNS-Cache-Poisoning schützen und Browsern ermöglichen, sich mithilfe eines vertrauenswürdigen Drittanbieters bei der Anwendung zu authentifizieren. Welche Kombination von Maßnahmen erfüllt diese Ziele?

DNSSEC (DNS Security Extensions) schützt die Route 53 Hosted Zone vor DNS-Cache-Poisoning, indem es die Authentizität von DNS-Antworten kryptografisch sicherstellt. Dies verhindert, dass Angreifer gefälschte DNS-Einträge in Caches einschleusen. X.509-Zertifikate, die von einer öffentlichen Zertifizierungsstelle (CA) signiert sind, ermöglichen Browsern die Authentifizierung der Anwendung. Die CA bestätigt die Identität des Servers, wodurch eine vertrauenswürdige HTTPS-Verbindung hergestellt wird. Selbstsignierte Zertifikate sind nicht vertrauenswürdig für Browser und lösen Warnungen aus. NAPTR-Einträge werden für dynamische Delegierungen in der Telefonie verwendet, nicht für die Sicherheit von Webanwendungen oder den Schutz vor Cache-Poisoning.