Modulelessen (1/3)
NSEC, NSEC3, and negative proofs
NSEC, NSEC3 en negatieve bewijzen
DNSSEC moet niet alleen bewijzen dat een record aanwezig is, maar ook dat een naam of type ontbreekt. NSEC koppelt namen in gesorteerde volgorde en vermeldt de typen bij een naam. Een validator controleert de handtekeningen en het bewijs om een negatief antwoord te bevestigen. Lopende NSEC-links kunnen namen in een zone onthullen.
NSEC3 hasht namen om eenvoudige opsomming minder direct te maken, maar het is geen encryptie. Voorspelbare namen kunnen nog steeds worden geraden en getest. Opt-out kan in sommige delegatiescenario's de kosten verlagen, maar het verandert welke delegaties onder bewijzen vallen. Door agressieve negatieve caching kunnen compatibele oplossers gevalideerde bewijzen hergebruiken voor zoekopdrachten in de buurt.
Referenties: RFC 4034 — NSEC · RFC 5155 — NSEC3 · RFC 8198 — agressief caching
Controleer uw begrip
Kies het beste antwoord. In de voorbeelden worden trainingsnamen gebruikt en worden geen echte DNS-query's verzonden.
Maakt NSEC3 zonenamen vertrouwelijk?