Firma będzie hostować bezpieczną aplikację internetową na wielu instancjach EC2 i posiada strefę hostowaną Route 53 dla domeny aplikacji. Firma chce chronić domenę przed zatruwaniem pamięci podręcznej DNS (DNS cache-poisoning) i umożliwić przeglądarkom uwierzytelnianie się w aplikacji za pomocą zaufanej strony trzeciej. Która kombinacja działań spełnia te cele?

Prawidłowa odpowiedź spełnia oba wymagania. DNSSEC (DNS Security Extensions) chroni domenę przed zatruwaniem pamięci podręcznej DNS poprzez cyfrowe podpisywanie danych DNS, zapewniając ich autentyczność i integralność. Certyfikaty X.509 podpisane przez publiczny urząd certyfikacji (CA) są niezbędne do uwierzytelniania aplikacji przez przeglądarki. Publiczny CA jest zaufaną stroną trzecią, która weryfikuje tożsamość właściciela domeny, umożliwiając przeglądarkom nawiązanie bezpiecznego połączenia HTTPS. Opcje zawierające certyfikaty z podpisem własnym są błędne, ponieważ przeglądarki nie ufają im domyślnie, co prowadziłoby do ostrzeżeń bezpieczeństwa. Opcje z rekordem NAPTR są nieprawidłowe, ponieważ rekord NAPTR służy do mapowania numerów telefonów na adresy URL i nie zapewnia ochrony przed zatruwaniem pamięci podręcznej DNS ani uwierzytelniania aplikacji przez przeglądarki.