Lezioni del modulo (1/3)
NSEC, NSEC3 e prove negative
NSEC, NSEC3 e prove negative
DNSSEC deve poter provare anche che un nome o un tipo non esiste. NSEC collega nomi ordinati nella zona e indica i tipi presenti; il validatore usa le firme per verificare la prova negativa. Poiché i nomi possono essere enumerati camminando la catena, NSEC può rivelare l’elenco della zona.
Come funziona
NSEC3 usa hash dei nomi per rendere meno immediata l’enumerazione, ma non rende i nomi segreti: nomi prevedibili possono essere indovinati e verificati. L’opt-out può ridurre il costo in scenari specifici, ma cambia quali deleghe sono coperte dalla prova. Non scegliere NSEC3 come se fosse cifratura.
Esempio svolto
Scenario: la query chiede missing.example.test A. L’autorità restituisce una risposta negativa firmata; il validatore controlla che le prove coprano l’assenza del nome o del tipo. Se le prove non sono valide, la risposta può diventare bogus.
Attenzione
La prova negativa firmata abilita anche caching aggressivo di risposte negative in resolver compatibili. Pianifica dimensione delle risposte, interoperabilità e gestione delle firme.
Fonti per approfondire
RFC 4034 — NSEC · RFC 5155 — NSEC3 · RFC 8198 — caching aggressivo
Verifica
Scegli la risposta migliore. Gli esempi usano nomi e indirizzi didattici e non inviano query DNS reali.
NSEC3 rende i nomi della zona confidenziali?