Une entreprise hébergera une application web sécurisée sur plusieurs instances EC2 et dispose d'une zone hébergée Route 53 pour le domaine de l'application. L'entreprise souhaite protéger le domaine contre l'empoisonnement du cache DNS et permettre aux navigateurs de s'authentifier auprès de l'application en utilisant un tiers de confiance. Quelle combinaison d'actions permet d'atteindre ces objectifs ?

Pour protéger le domaine contre l'empoisonnement du cache DNS, il faut activer les extensions de sécurité DNS (DNSSEC) sur la zone hébergée Route 53. DNSSEC ajoute des signatures numériques aux enregistrements DNS, permettant aux résolveurs de vérifier l'authenticité des réponses DNS et d'empêcher la falsification. Pour permettre aux navigateurs de s'authentifier auprès de l'application en utilisant un tiers de confiance, il est nécessaire d'installer des certificats X.509 signés par une autorité de certification (CA) publique sur les instances EC2. Les certificats auto-signés ne sont pas reconnus par les navigateurs comme des tiers de confiance, ce qui entraînerait des avertissements de sécurité. Les enregistrements NAPTR sont utilisés pour le mappage de noms de domaine vers des ressources, pas pour la protection contre l'empoisonnement du cache DNS ou l'authentification des navigateurs.