DS and the chain of trust

DS і ланцюг довіри

Запис DS у батьківській зоні пов’язує ім’я дитини з одним із ключів DNSKEY дитини. Валідатор починає роботу з довіреного ключа, перевіряє підписи в батьківському ключі, переходить за посиланням DS на дочірній ключ, а потім перевіряє підписані RRsets дочірнього.

trust anchor → DS del parent → DNSKEY del child → RRSIG del record

DS, який не відповідає дочірньому DNSKEY, розриває ланцюжок. Дитина без DS не є автоматично фальшивою; ця гілка може бути незахищеною, оскільки вона не делегована як безпечна DNSSEC. Якщо ланцюжок говорить про перевірку, але доказ не вдається, дані є фальшивими, і резолвер може повернути SERVFAIL.

Перевірте своє розуміння

Виберіть найкращу відповідь. Ця вікторина виконується локально та не надсилає запити DNS до реальних доменів.