Impacto de la extensión de seguridad DNSSEC sobre el rendimiento de servidores DNS frente al sistema tradicional en entornos simulados

Abstract

El Sistema de Nombres de Dominio (DNS) tradicional carece de mecanismos de autenticación del origen de los datos, lo que lo hace vulnerable a ataques de suplantación mediante respuestas forjadas. El presente trabajo evalúa de forma cuantitativa el compromiso entre seguridad y rendimiento que introduce la extensión DNSSEC frente al DNS tradicional. Para ello se implementó un entorno de simulación en GNS3 con routers Cisco C7200 emulados mediante Dynamips y servidores DNS desplegados en contenedores Docker con BIND 9.20 sobre Debian 12, organizados en tres zonas de red (LAN, tránsito y DMZ). Se definieron cuatro escenarios de evaluación: operación normal sin DNSSEC (E1) y con DNSSEC (E2), y operación bajo carga adversaria sin DNSSEC (E3) y con DNSSEC (E4), empleando un modelo de ataque determinista basado en la redirección controlada del reenvío del resolutor hacia un servidor autoritativo falso. Se midieron latencia, throughput, consumo de CPU y memoria, mediante las herramientas dig y dnsperf sobre un conjunto de diez mil nombres únicos. Los resultados muestran que, en operación normal, DNSSEC no introduce una penalización apreciable en la latencia (diferencias inferiores al 3 %), en el throughput (saturación en torno a 780 consultas por segundo, limitada por la red emulada) ni en el consumo de CPU y memoria del resolutor. El único costo diferencial y medible de DNSSEC se localizó en el volumen de datos por respuesta, que se incrementó de 57 a 177 bytes (factor aproximado de 3,1) por la inclusión de los registros de firma RRSIG, elevando la tasa de transferencia de 74,67 a 174,10 KB/s . En el plano de la seguridad, se verificó empíricamente que el resolutor con DNSSEC rechazó la respuesta forjada mediante el código SERVFAIL, mientras que el resolutor sin DNSSEC aceptó y almacenó la dirección falsificada.