A и AAAA дают возможные адреса. Проверенная конечная точка требует соединения с выбранным адресом и проверки ожидаемой службы, сохраняя её доверенный исходный идентификатор.
DNS и разрешение имён
Проверенная конечная точка службы
Определение
Проверенная конечная точка службы — это та сторона соединения, к которой клиент подключился на самом деле и которая прошла проверку права представлять ожидаемую службу. Ответ DNS лишь подсказывает адрес: ожидаемое имя сверяют с subjectAltName сертификата, а самому сертификату нужен допустимый путь доверия.
Также ищут: проверенный endpoint сервиса · DNS answer to TLS identity · Authenticated service endpoint
Зачем это знать
DNS предлагает адреса и параметры, TLS проверяет сторону, а приложение — полезный результат и права. В приёмке нельзя заменять всю эту последовательность успешным запросом имени или одним подходящим сертификатом.
Связи из словаря
Карта понятия
Проверенная конечная точка службы
Доказательная часть
Что подтверждено
После разрешения имени клиент строит ожидаемый идентификатор из доверенных исходных данных и сопоставляет его с именем в сертификате фактической стороны TLS.
Граница применимости: Подключение к службе через DNS с защитой PKIX TLS.
Записи DNS помогают выбрать конечную точку, но найденный адрес не выдаёт права на действие приложения. Для HTTPS проверка ожидаемой службы и прикладного результата выполняются по своим правилам.
Граница применимости: Сопоставление DNS, идентификации службы и HTTP; конкретную модель выдачи прикладных прав выбирает система.
При проверке DNS-идентификатора службы используют соответствующее имя в subjectAltName сертификата. Поле commonName не служит запасным источником имени по правилам RFC 9525.
Граница применимости: Проверка идентичности службы по RFC 9525; требования к построению доверенной цепочки сертификатов выполняются отдельно.
Допустимый шаблон DNS-идентификатора со звёздочкой охватывает одну крайнюю левую метку. Совпадение с *.example не делает имя a.b.example подходящим под этот шаблон.
Граница применимости: Правило крайнего левого подстановочного шаблона в RFC 9525; пример касается сравнения ASCII-имён, а не правил выдачи сертификата удостоверяющим центром.
Если доверенный исходный идентификатор службы задан как IP-адрес, проверяют соответствующий IP-идентификатор в сертификате. Обычное разрешение доменного имени в IP само по себе не заменяет ожидаемое доменное имя таким идентификатором.
Граница применимости: Различие DNS-ID и IP-ID по RFC 9525; допустимые формы определяются профилем приложения.
Совпадение имени с сертификатом не завершает проверку сертификата. Дополнительно нужен допустимый путь доверия с применимыми ограничениями и сроками; имя и доверенная цепочка отвечают на разные вопросы.
Граница применимости: Сопоставление проверки имени RFC 9525 и пути сертификации RFC 5280; не задаёт универсальную политику отзыва для всех клиентов.
Для приёмки HTTPS-службы предлагаем раздельно проверить разрешение, соединение, идентичность TLS и ожидаемую операцию HTTP с нужными правами. Успех предыдущего шага не доказывает результат следующего.
Граница применимости: Редакторский договор приёмки из формата DNS, идентификации TLS и семантики HTTP; это не нормативный универсальный план испытаний из одного RFC.
Граница терминов
Не путать
HTTPS-запись сообщает способы подключения. Даже подтверждённые DNS-данные не заменяют проверку стороны фактического соединения и прикладного результата.
Перед спецификацией
Что проверить
- Зафиксируйте ожидаемый идентификатор службы из доверенной настройки или исходного адреса.
- Проследите DNS до фактически выбранного адреса и порта.
- Сохраните ожидаемое имя при использовании псевдонимов и альтернативных целей.
- Проверьте подходящий идентификатор subjectAltName и допустимость шаблона.
- Выполните проверку доверенной цепочки сертификатов и применимых сроков.
- Проверьте ожидаемую операцию приложения и требуемые права доступа.
- Запишите отдельно результат каждого слоя, чтобы отказ можно было воспроизвести.
Открытые основания
Первоисточники
- Domain Names — Implementation and Specification
Задаёт DNS wire format, master files и базовые resource records A, CNAME, MX, NS и SOA.
- HTTP Semantics
Определяет stateless HTTP, origin server, intermediaries, target URI и security significance полей authority и Host.
- Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List Profile
Определяет Internet X.509 certificate и CRL profiles, PKI entities, extensions и certification path validation.
Утверждения: 06
- DNS Extensions to Support IP Version 6
Определяет AAAA resource record и IPv6 reverse lookup domain.
- Service Binding and Parameter Specification via the DNS
Определяет SVCB и HTTPS records, alternative endpoints и extensible service parameters.