モジュール 13 · レッスン 1 / 3コース内の 43/54~16 min
モジュールのレッスン (1/3)
NSEC, NSEC3, and negative proofs
NSEC、NSEC3、および陰性プルーフ
DNSSEC は、レコードが存在することだけでなく、名前またはタイプが存在しないことも証明する必要があります。 NSEC は名前をソート順にリンクし、名前の種類をリストします。バリデーターは署名と証明をチェックして、否定的な答えを確認します。 NSEC リンクを歩くと、ゾーン内の名前が明らかになることがあります。
NSEC3 は名前をハッシュして単純な列挙を直接的ではありませんが、暗号化ではありません。予測可能な名前は、推測してテストすることができます。オプトアウトにより一部の委任シナリオではコストを削減できますが、プルーフの対象となる委任が変わります。積極的なネガティブ キャッシュにより、互換性のあるリゾルバーが近くのクエリに対して検証済みのプルーフを再利用できるようになります。
参考文献: RFC 4034 — NSEC · RFC 5155 — NSEC3 · RFC 8198 — アグレッシブキャッシュ
理解度を確認してください
最良の答えを選択してください。この例ではトレーニング名を使用しており、実際の DNS クエリは送信しません。
NSEC3 はゾーン名を機密にしますか?