Bài học theo mô-đun (4/4)
Secure, insecure, and bogus
An toàn, không an toàn và không có thật
“Bảo mật” có nghĩa là trình phân giải đã xây dựng và xác minh chuỗi tin cậy hợp lệ cho câu trả lời. “Không an toàn” có nghĩa là tên không được bảo vệ bởi chuỗi DNSSEC—ví dụ: vì không có DS nào ủy quyền cho tên đó là an toàn. “Không có thật” có nghĩa là việc xác thực đã được mong đợi nhưng không thành công, chẳng hạn như DS không khớp hoặc chữ ký không hợp lệ hoặc đã hết hạn.
Sự khác biệt quan trọng đối với người dùng: trình phân giải xác thực có thể trả về SERVFAIL cho dữ liệu không có thật thay vì âm thầm chấp nhận dữ liệu đó. Điều đó bảo vệ tính toàn vẹn nhưng có thể khiến lỗi ký tên giống như bị ngừng hoạt động. Chỉ so sánh các quan sát xác nhận và không xác thực như một đầu mối chẩn đoán; không vô hiệu hóa xác nhận như một bản sửa lỗi vĩnh viễn.
Theo chuỗi: neo tin cậy → DS ở cấp độ gốc → DNSKEY ở cấp độ con → RRSIG cho tập bản ghi tài nguyên. Tìm liên kết đầu tiên không xác minh.
Kiểm tra sự hiểu biết của bạn
Chọn câu trả lời tốt nhất. Bài kiểm tra này chạy cục bộ và không gửi truy vấn DNS đến các miền thực.
DS tồn tại nhưng RRSIG không hợp lệ. Trạng thái nào phù hợp?