DS and the chain of trust

DS と信頼の連鎖

親ゾーンの DS レコードは、子の名前を子の DNSKEY の 1 つにリンクします。バリデーターは信頼できるキーから開始し、親の署名をチェックし、DS リンクをたどって子キーに到達し、子の署名付き RRset を検証します。

trust anchor → DS del parent → DNSKEY del child → RRSIG del record

子 DNSKEY と一致しない DS はチェーンを切断します。 DS のない子は自動的に false になるわけではありません。そのブランチは DNSSEC セキュアとして委任されていないため、安全ではない可能性があります。チェーンが検証するように指示しても証明が失敗した場合、データは偽であり、リゾルバーは SERVFAIL を返す可能性があります。

理解度を確認してください

最良の答えを選択してください。このクイズはローカルで実行され、実際のドメインに DNS クエリは送信されません。