Уроки модуля (4/4)
Secure, insecure, and bogus
Безопасный, небезопасный и фиктивный
«Безопасный» означает, что преобразователь создал и проверил действительную цепочку доверия для ответа. «Небезопасное» означает, что имя не защищено цепочкой DNSSEC, например потому, что ни один DS не делегирует его как безопасное. «Поддельный» означает, что проверка ожидалась, но не удалась, например, несоответствующий DS или недействительная подпись или подпись с истекшим сроком действия.
Разница имеет значение для пользователей: проверяющий преобразователь может возвращать SERVFAIL для фиктивных данных, а не молча принимать их. Это защищает целостность, но может привести к тому, что ошибка подписи будет выглядеть как сбой. Сравнивайте подтверждающие и неподтверждающие наблюдения только как диагностический ключ; не отключайте проверку как постоянное исправление.
Следуйте цепочке: доверенная привязка → DS в родительском → DNSKEY в дочернем → RRSIG для RRset. Найдите первую ссылку, которая не проверяется.
Проверьте свое понимание
Выберите лучший ответ. Этот тест выполняется локально и не отправляет DNS-запросы на реальные домены.
DS существует, но RRSIG недействителен. Какой штат подходит?