Уроки модуля (1/3)
NSEC, NSEC3, and negative proofs
NSEC, NSEC3 и отрицательные доказательства
DNSSEC должен доказать не только наличие записи, но и отсутствие имени или типа. NSEC связывает имена в отсортированном порядке и перечисляет типы по имени. Валидатор проверяет подписи и доказательства, чтобы подтвердить отрицательный ответ. Переход по ссылкам NSEC может выявить имена в зоне.
NSEC3 хэширует имена, чтобы сделать простое перечисление менее прямым, но это не шифрование. Предсказуемые имена все еще можно угадать и проверить. Отказ может снизить затраты в некоторых сценариях делегирования, но при этом меняется то, какие делегирования покрываются доказательствами. Агрессивное отрицательное кэширование может позволить совместимым преобразователям повторно использовать проверенные доказательства для близлежащих запросов.
Ссылки: RFC 4034 — NSEC · RFC 5155 — NSEC3 · RFC 8198 — агрессивный кэширование
Проверьте свое понимание
Выберите лучший ответ. В примерах используются обучающие имена и не отправляются настоящие DNS-запросы.
Делает ли NSEC3 конфиденциальными имена зон?