Leçons du module (3/4)
DS et chaîne de confiance
DS et chaîne de confiance
Un DS dans la zone parente relie le nom de l’enfant à l’une de ses DNSKEY. Le validateur part d’une clé de confiance, vérifie les signatures du parent, suit le lien DS vers la clé de l’enfant, puis valide ses RRset signés.
trust anchor → DS del parent → DNSKEY del child → RRSIG del recordUn DS qui ne correspond à aucune DNSKEY de l’enfant rompt la chaîne. L’absence de DS ne signifie pas automatiquement que la zone est fausse : cette branche peut être insecure. Si la chaîne annonce une validation mais que la preuve échoue, les données sont bogus et le résolveur peut répondre SERVFAIL.
Laboratorio guidato: Controllo della catena DNSSEC
Il caso mostra come una discrepanza DS/DNSKEY impedisca la validazione.
Simulazione didattica locale: nessuna query DNS viene inviata.
Vérifiez votre compréhension
Choisissez la meilleure réponse. Ce quiz fonctionne localement et n’envoie aucune requête DNS réelle.
Où le DS reliant parent et enfant est-il généralement publié ?