Bài học theo mô-đun (1/3)
NSEC, NSEC3, and negative proofs
NSEC, NSEC3 và bằng chứng phủ định
DNSSEC không chỉ phải chứng minh rằng có bản ghi mà còn không có tên hoặc loại. NSEC liên kết các tên theo thứ tự sắp xếp và liệt kê các loại theo tên. Người xác thực sẽ kiểm tra chữ ký và bằng chứng để xác nhận câu trả lời phủ định. Các liên kết NSEC đi bộ có thể tiết lộ tên trong một vùng.
NSEC3 băm các tên để làm cho việc liệt kê đơn giản ít trực tiếp hơn nhưng đó không phải là mã hóa. Những cái tên có thể đoán trước vẫn có thể được đoán và kiểm tra. Việc chọn không tham gia có thể giảm chi phí trong một số trường hợp ủy quyền, nhưng nó sẽ thay đổi việc ủy quyền nào được chứng minh bằng bằng chứng. Bộ nhớ đệm âm tích cực có thể cho phép các trình phân giải tương thích sử dụng lại bằng chứng đã xác thực cho các truy vấn gần đó.
Tài liệu tham khảo: RFC 4034 — NSEC · RFC 5155 — NSEC3 · RFC 8198 — linh hoạt bộ nhớ đệm
Kiểm tra sự hiểu biết của bạn
Chọn câu trả lời tốt nhất. Các ví dụ sử dụng tên đào tạo và không gửi truy vấn DNS thực.
NSEC3 có bảo mật tên vùng không?