Lecciones del módulo (1/3)
NSEC, NSEC3 y pruebas negativas
NSEC, NSEC3 y pruebas negativas
DNSSEC también debe demostrar que un nombre o tipo no existe. NSEC enlaza nombres ordenados de la zona e indica los tipos presentes. El validador comprueba firmas y pruebas para confirmar una respuesta negativa. Recorrer los enlaces NSEC puede revelar nombres de la zona.
NSEC3 aplica hashes a los nombres para dificultar una enumeración simple, pero no cifra: los nombres previsibles pueden adivinarse. Opt-out puede reducir el coste en ciertos casos de delegación, aunque cambia qué delegaciones cubre la prueba. Los resolutores compatibles también pueden reutilizar pruebas negativas validadas para consultas cercanas.
Referencias: RFC 4034 — NSEC · RFC 5155 — NSEC3 · RFC 8198 — caché agresiva
Comprueba lo aprendido
Elige la mejor respuesta. Los ejemplos usan nombres didácticos y no envían consultas DNS reales.
¿NSEC3 hace confidenciales los nombres de la zona?