Lecciones del módulo (3/4)
DS y cadena de confianza
DS y cadena de confianza
Un registro DS en la zona padre relaciona el nombre del hijo con una DNSKEY de ese hijo. El validador parte de una clave de confianza, comprueba las firmas del padre, sigue el enlace DS hasta la clave hija y valida sus RRset firmados.
trust anchor → DS del parent → DNSKEY del child → RRSIG del recordUn DS que no coincide con una DNSKEY del hijo rompe la cadena. Un hijo sin DS no es automáticamente falso: esa rama puede ser insecure porque no está delegada como segura con DNSSEC. Si se espera validar y la prueba falla, los datos son bogus y el resolutor puede devolver SERVFAIL.
Laboratorio guidato: Controllo della catena DNSSEC
Il caso mostra come una discrepanza DS/DNSKEY impedisca la validazione.
Simulazione didattica locale: nessuna query DNS viene inviata.
Comprueba lo aprendido
Elige la mejor respuesta. El cuestionario funciona localmente y no envía consultas DNS reales.
¿Dónde se publica normalmente el DS que enlaza padre e hijo?