Resumidamente, quando o usuário digita o endereço de um site na caixa do navegador e dá Enter, inicia-se uma busca pelo endereço do servidor que contém aquele site num sistema chamado DNS. O seu navegador terá como resposta o endereço IP do servidor a quem ele deve requisitar o site e só então ele fará a requisição do mesmo.
Ocorre que os sites são requisitados muitas vezes por um mesmo usuário e, para evitar que seja necessário fazer uma busca DNS toda vez, o provedor de internet, o roteador Wi-Fi e/ou o próprio computador ou dispositivo do usuário podem guardar as respostas já obtidas em caches temporários a serem consultados no lugar do próprio sistema DNS.
É aí que entra o problema: se o cache DNS for manipulado por um hacker ou um software malicioso (ataque conhecido como DNS Cache Poisoning ou Envenenamento de Cache DNS), o usuário pode acabar acessando um site falso em um servidor falso mesmo digitando o endereço correto no navegador, e muitas vezes nem um antivírus ou um firewall conseguirá alertá-lo sobre isso.
O que o DNSSEC faz é entregar, junto com a resposta DNS, uma assinatura criptográfica da mesma, usando, para tal, uma criptografia de chave assimétrica que permitirá validar a integridade do dado retornado.
Um site que conta com DNSSEC, portanto, tem uma camada de proteção a mais contra ataques de envenenamento DNS, proporcionando mais segurança aos seus usuários.