DS and the chain of trust

DS и цепочка доверия

Запись DS в родительской зоне связывает имя дочернего элемента с одним из дочерних ключей DNSKEY. Валидатор начинается с доверенного ключа, проверяет подписи в родительском ключе, переходит по ссылке DS к дочернему ключу, а затем проверяет подписанные дочерние наборы RRsets.

trust anchor → DS del parent → DNSKEY del child → RRSIG del record

DS, который не соответствует дочернему DNSKEY, разрывает цепочку. Ребенок без DS не является автоматически ложным; эта ветвь может быть небезопасной, поскольку она не делегирована как защищенная с помощью DNSSEC. Если цепочка требует проверки, но доказательство не удалось, данные являются поддельными, и преобразователь может вернуть SERVFAIL.

Проверьте свое понимание

Выберите лучший ответ. Этот тест выполняется локально и не отправляет DNS-запросы на реальные домены.