Делегирование через NS задаёт путь к серверам. Цепочка через DS и DNSKEY устанавливает доверие к ключам; изменение первого пути не обновляет вторую связь автоматически.
DNS и разрешение имён
Цепочка доверия DNSSEC
Определение
Цепочка доверия DNSSEC — это последовательность проверок от локального якоря доверия до ключей и подписей нужной зоны. На каждом шаге DS родителя сопоставляют с DNSKEY дочерней зоны и этим ключом проверяют подпись набора DNSKEY.
Также ищут: DS-to-DNSKEY chain · DNSSEC chain of trust
Зачем это знать
При смене оператора DNS данные зоны могут выглядеть правильными, но не проходить проверку из-за DS родителя. Нужно проверять весь путь, а не только подпись у конечного имени.
Связи из словаря
Карта понятия
Цепочка доверия DNSSEC
Доказательная часть
Что подтверждено
Проверенный DS родительской зоны сопоставляют с DNSKEY дочерней, затем этим ключом проверяют RRSIG набора DNSKEY; только после этого ключи зоны считаются аутентифицированными.
Граница применимости: Защищённое делегирование DNSSEC от родительской зоны дочерней.
Самоподпись или отдельная RRSIG не создаёт доверия: проверка начинается с настроенного якоря и проходит всю применимую цепочку.
Граница применимости: Модель доверия при проверке DNSSEC.
Якорь доверия является доверенным входом проверяющей стороны. Полученная из недоверенного DNS-ответа запись не становится якорем только потому, что содержит ключ или подпись.
Граница применимости: Модель якорей DNSSEC по RFC 4033; автоматическое сопровождение якорей отдельными протоколами здесь не описывается.
DS связывает дочернюю зону с DNSKEY через идентификаторы алгоритма и дайджест. Он не указывает адрес DNS-сервера и не заменяет записи NS.
Граница применимости: Формат DS по RFC 4034; совпадение проверяется с подходящим ключом, а не с адресом обслуживания.
Проверенное отсутствие DS у подписанного родителя означает отсутствие защищённого делегирования по этому пути. Сама дочерняя зона при этом может иметь подписи, но они не получают доверие от отсутствующей связи автоматически.
Граница применимости: Базовая проверка делегирования DNSSEC по RFC 4035; наличие отдельного локального якоря для дочерней зоны меняет исходные условия.
Разделение задач подписи ключей и прочих наборов может выполняться разными ключами, но KSK и ZSK не являются отдельными типами ресурсных записей: открытые ключи представлены DNSKEY.
Граница применимости: Роли ключей в базовой модели DNSSEC и тип DNSKEY по RFC 4033 и RFC 4034; конкретная политика смены ключей не предписывается.
При переносе подписанной зоны предлагаем сопоставить DS родителя с ключами, которые фактически обслуживает новая сторона. Рабочие NS и подписи нового набора сами по себе не подтверждают сохранение прежней цепочки.
Граница применимости: Редакторская проверка переноса из модели делегирования DNS и валидации DNSSEC; календарь смены ключей зависит от выбранной процедуры и кэшей.
Граница терминов
Не путать
DNSKEY, DS и RRSIG — элементы данных. Цепочка доверия требует проверить их связь и применимость от доверенного начала, а не просто найти все названия типов в ответе.
Перед спецификацией
Что проверить
- Определите применимый доверенный якорь проверяющей стороны.
- Проследите каждое защищённое делегирование до целевой зоны.
- Сопоставьте DS с фактически доступной DNSKEY дочерней зоны.
- Проверьте подпись набора DNSKEY и затем нужных наборов данных.
- Отсутствие DS подтверждайте предусмотренным доказательством, а не пустым выводом утилиты.
- При переносе сверяйте родительские данные, новую зону и ещё действующие кэшированные состояния.
- Проверьте итог обычным валидирующим запросом, сохранив диагностику каждой ошибки.
Открытые основания
Первоисточники
- Resource Records for the DNS Security Extensions
Определяет DNSKEY, RRSIG, NSEC и DS resource records и canonical form для signatures.
- Protocol Modifications for the DNS Security Extensions
Определяет signing, authoritative serving и resolver validation behavior DNSSEC.
- DNS Security Introduction and Requirements
Определяет DNSSEC goals, resolver security states, trust anchors и границы защиты.
- DNS Terminology
Актуализирует определения names, resolvers, authoritative servers, zones, delegation, split DNS и DNSSEC states.
Утверждения: 02
- Domain Names — Concepts and Facilities
Определяет иерархию DNS, zones, authoritative data, referrals и resolver algorithm.
Утверждения: 07