Leçons du module (1/3)
NSEC, NSEC3 et preuves négatives
NSEC, NSEC3 et preuves négatives
DNSSEC doit aussi prouver qu’un nom ou un type n’existe pas. NSEC relie les noms triés d’une zone et indique les types présents. Le validateur contrôle les signatures et les preuves de réponse négative. Parcourir les liens NSEC peut révéler les noms de la zone.
NSEC3 hache les noms pour rendre l’énumération simple moins directe, mais ne chiffre rien. Des noms prévisibles peuvent être devinés. Opt-out peut réduire le coût dans certains cas de délégation, mais change la couverture des preuves. Les résolveurs compatibles peuvent aussi réutiliser des preuves négatives validées pour des requêtes proches.
Références : RFC 4034 — NSEC · RFC 5155 — NSEC3 · RFC 8198 — cache agressif
Vérifiez votre compréhension
Choisissez la meilleure réponse. Les exemples utilisent des noms pédagogiques et n’envoient aucune requête réelle.
NSEC3 rend-il confidentiels les noms d’une zone ?