NSEC, NSEC3 und negative Beweise

DNSSEC muss auch beweisen können, dass ein Name oder Typ nicht existiert. NSEC verknüpft sortierte Namen einer Zone und nennt die vorhandenen Typen. Der Validator prüft Signaturen und Beweise für eine negative Antwort. Ein Durchlaufen der NSEC-Kette kann Namen der Zone offenlegen.

NSEC3 hasht Namen, um einfache Aufzählung zu erschweren, verschlüsselt sie aber nicht. Vorhersehbare Namen können erraten werden. Opt-out kann in bestimmten Delegationsfällen Aufwand senken, ändert aber, welche Delegationen durch den Beweis abgedeckt sind. Kompatible Resolver können validierte negative Beweise für nahe Abfragen aggressiv cachen.

Quellen: RFC 4034 — NSEC · RFC 5155 — NSEC3 · RFC 8198 — aggressives Caching

Verständnis prüfen

Wähle die beste Antwort. Die Beispiele verwenden Trainingsnamen und senden keine echten DNS-Anfragen.

Quiz#dns.m13.l1.e1

Macht NSEC3 Zonennamen vertraulich?

Ja, es verschlüsselt sieNein, es erschwert einfache Aufzählung, garantiert aber keine GeheimhaltungJa, wenn die TTL hoch ist