Lecții din modul (1/3)
NSEC, NSEC3, and negative proofs
NSEC, NSEC3 și dovezi negative
DNSSEC trebuie să dovedească nu numai că o înregistrare este prezentă, ci și că un nume sau un tip este absent. NSEC leagă numele în ordine sortată și listează tipurile la un nume. Un validator verifică semnăturile și dovezile pentru a confirma un răspuns negativ. Legăturile NSEC de mers pe jos pot dezvălui nume într-o zonă.
NSEC3 trimit nume pentru a face enumerarea simplă mai puțin directă, dar nu este criptare. Numele previzibile pot fi încă ghicite și testate. Renunțarea poate reduce costurile în unele scenarii de delegare, dar modifică delegațiile care sunt acoperite de dovezi. Memorarea în cache negativă agresivă poate permite soluțiilor compatibile să refolosească dovezile validate pentru interogările din apropiere.
Referințe: RFC 4034 — NSEC · RFC 5155 — NSEC3 · RFC 8198 — agresiv memorarea în cache
Verificați-vă înțelegerea
Alegeți cel mai bun răspuns. Exemplele folosesc nume de antrenament și nu trimit interogări DNS reale.
NSEC3 face ca numele zonelor să fie confidențiale?