DS and the chain of trust

DS en de keten van vertrouwen

Een DS-record in een bovenliggende zone koppelt de naam van een kind aan een van de DNSKEYs van het kind. De validator vertrekt vanuit een vertrouwde sleutel, controleert handtekeningen in de ouder, volgt de DS-link naar de onderliggende sleutel en valideert vervolgens de ondertekende RRsets van het kind.

trust anchor → DS del parent → DNSKEY del child → RRSIG del record

Een DS die niet overeenkomt met een onderliggende DNSKEY verbreekt de keten. Een kind zonder DS is niet automatisch vals; die tak is mogelijk onveilig omdat deze niet als DNSSEC-beveiligd is gedelegeerd. Als de keten zegt te valideren, maar het bewijs mislukt, zijn de gegevens vals en kan een oplosser SERVFAIL retourneren.

Controleer uw begrip

Kies het beste antwoord. Deze quiz wordt lokaal uitgevoerd en stuurt geen DNS-query's naar echte domeinen.