DS e catena di fiducia

DS e catena di fiducia

Collegare parent e child e seguire la validazione dalla root alla zona.

Applicazione

La catena è un passaggio di consegne

Il trust anchor della root autentica la root. La root firma la delega del TLD; il parent del dominio pubblica il DS che identifica una DNSKEY del child; il child usa la propria chiave per verificare le firme sugli RRset. Il validatore controlla ogni collegamento prima di accettare la risposta.

trust anchor → DS del parent → DNSKEY del child → RRSIG del record

Un DS corretto con una DNSKEY non corrispondente interrompe la catena. Una zona senza DS non diventa automaticamente “falsa”: quel ramo può risultare insecure. Una zona dichiarata firmata ma con prove non valide è invece bogus e può causare SERVFAIL al client.

Segui la validazione come una catena: trust anchor → DS nel parent → DNSKEY nel child → RRSIG dell’RRset. Se un anello non combacia, non dichiarare i dati secure.

Per risolvere casi reali, separa sempre il dato richiesto, la fonte che lo pubblica e il componente che sta rispondendo. Annota le ipotesi invece di confondere una risposta osservata con la causa del comportamento.

Prova tu

Scegli la risposta migliore. Il quiz è locale e deterministico: non invia query a domini reali.