Pelajaran modul (1/3)
NSEC, NSEC3, and negative proofs
NSEC, NSEC3, dan bukti negatif
DNSSEC harus membuktikan tidak hanya adanya record, namun juga tidak adanya nama atau tipe. NSEC menghubungkan nama-nama dalam urutan yang diurutkan dan mencantumkan tipe-tipe pada sebuah nama. Validator memeriksa tanda tangan dan bukti untuk mengkonfirmasi jawaban negatif. Tautan berjalan NSEC dapat mengungkapkan nama di suatu zona.
NSEC3 melakukan hash pada nama untuk membuat enumerasi sederhana menjadi kurang langsung, tetapi ini bukan enkripsi. Nama-nama yang mudah ditebak masih bisa ditebak dan diuji. Memilih untuk tidak ikut serta dapat mengurangi biaya dalam beberapa skenario delegasi, namun hal ini mengubah delegasi mana yang tercakup dalam bukti. Caching negatif yang agresif memungkinkan penyelesai yang kompatibel menggunakan kembali bukti yang divalidasi untuk kueri terdekat.
Referensi: RFC 4034 — NSEC · RFC 5155 — NSEC3 · RFC 8198 — agresif cache
Periksa pemahaman Anda
Pilih jawaban terbaik. Contohnya menggunakan nama pelatihan dan tidak mengirimkan kueri DNS sebenarnya.
Apakah NSEC3 merahasiakan nama zona?