Lecții din modul (3/4)
DS and the chain of trust
DS și lanțul de încredere
O înregistrare DS într-o zonă parentală leagă numele unui copil de unul dintre DNSKEY-urile copilului. Validatorul pornește de la o cheie de încredere, verifică semnăturile din părinte, urmărește linkul DS către cheia copil și apoi validează RRset-urile semnate ale copilului.
trust anchor → DS del parent → DNSKEY del child → RRSIG del recordUn DS care nu se potrivește cu un copil DNSKEY rupe lanțul. Un copil fără DS nu este automat fals; acea ramură poate fi nesigură deoarece nu este delegată ca DNSSEC-secure. Dacă lanțul spune să se valideze, dar dovada eșuează, datele sunt false și un resolver poate returna SERVFAIL.
Laboratorio guidato: Controllo della catena DNSSEC
Il caso mostra come una discrepanza DS/DNSKEY impedisca la validazione.
Simulazione didattica locale: nessuna query DNS viene inviata.
Verificați-vă înțelegerea
Alegeți cel mai bun răspuns. Acest test rulează local și nu trimite interogări DNS către domenii reale.
Unde este publicat în mod normal DS-ul care leagă un părinte și un copil?