DS and the chain of trust

DS 和信任链

父级区域中的 DS 记录将子级的名称链接到子级的 DNSKEY 之一。验证器从受信任的密钥开始，检查父密钥中的签名，沿着 DS 链接到达子密钥，然后验证子密钥的签名 RRset。

trust anchor → DS del parent → DNSKEY del child → RRSIG del record

与子 DNSKEY 不匹配的 DS 会破坏链条。没有 DS 的孩子并不一定是假的；该分支可能不安全，因为它没有被委托为 DNSSEC 安全。如果链要求验证但证明失败，则数据是伪造的，解析器可能会返回 SERVFAIL。

检查你的理解情况

选择最佳答案。此测验在本地运行，不会向真实域发送 DNS 查询。