DNSSEC тоже использует ресурсные записи, но с особыми ролями. RRSIG подтверждает определённый RRset; подпись соседнего типа не распространяется на остальные записи автоматически.
DNS и разрешение имён
Записи DNSSEC: DNSKEY, DS, RRSIG и NSEC
Определение
Записи DNSSEC — это особые типы ресурсных записей, в которых публикуют материал для проверки ответов DNS. DNSKEY хранит открытый ключ, DS ссылается из родительской зоны на ключ дочерней, RRSIG подписывает набор записей, а NSEC доказывает отсутствие имени или типа.
Также ищут: DNSSEC records · записи DNSSEC · DNSKEY, DS, RRSIG и NSEC
Зачем это знать
Набор знакомых названий в выводе утилиты не равен защищённому ответу. Для проверки нужно связать конкретные типы, ключи, имена, подписи и допустимые сроки.
Связи из словаря
Карта понятия
Записи DNSSEC: DNSKEY, DS, RRSIG и NSEC
Доказательная часть
Что подтверждено
DNSKEY публикует ключ, DS ссылается из родительской зоны на ключ дочерней, RRSIG подписывает RRset, а NSEC доказывает отсутствие имени или типа записи.
Граница применимости: Основные роли ресурсных записей DNSSEC.
Наличие отдельной DNSKEY или RRSIG не доказывает защищённое состояние без действующих подписей, подходящего времени и цепочки к якорю доверия.
Граница применимости: Наличие записей DNSSEC и завершённая проверка.
DNSKEY содержит открытый ключ и параметры его использования. Секретный ключ подписывающей стороны этой записью не публикуется.
Граница применимости: Формат DNSKEY по RFC 4034; хранение и защита секретных ключей находятся вне формата DNS-записи.
DS содержит идентификаторы и дайджест ключа дочерней зоны. Это связь с DNSKEY, а не подпись всех данных дочерней зоны и не адрес её сервера.
Граница применимости: Формат DS по RFC 4034; полный результат требует проверки дальнейшей цепочки.
RRSIG указывает покрываемый тип, параметры ключа и период действия подписи. Для проверки нужно сопоставить её с правильным набором записей, а не с любой строкой того же имени.
Граница применимости: Поля RRSIG по RFC 4034; валидатор дополнительно проверяет ключ и доверенный путь.
NSEC связывает имя со следующим существующим именем и перечисляет присутствующие типы. Эти сведения используются в отрицательной проверке; для полного ответа могут понадобиться несколько доказательств, включая условия подстановочных имён.
Граница применимости: Базовые отрицательные доказательства NSEC в RFC 4034 и RFC 4035; NSEC3 и его отдельные правила здесь не описываются.
Допустимый срок использования проверенного набора ограничивается в том числе оставшимся временем действия подписи. Большой TTL записи не продлевает истёкшую RRSIG.
Граница применимости: Ограничения TTL при проверке по RFC 4035, §5.3.3; предполагаются корректное время и успешные остальные проверки.
Граница терминов
Не путать
Записи дают материал для проверки. Цепочка доверия определяет, почему найденному ключу можно доверять от принятого якоря; наличие DNSKEY в ответе само этого не доказывает.
Перед спецификацией
Что проверить
- Сопоставьте каждый тип DNSSEC с его ролью в нужном ответе.
- Проверьте связь DS с подходящим открытым ключом дочерней зоны.
- Сверьте покрываемый тип RRSIG и полный проверяемый набор записей.
- Учитывайте начало и окончание действия подписи вместе с TTL.
- Для отрицательного ответа проверьте достаточность всех необходимых доказательств.
- Не считайте наличие открытого ключа или самоподписи установлением доверия.
- Проверьте конечное состояние у валидатора, которым действительно пользуется клиент.
Открытые основания
Первоисточники
- Protocol Modifications for the DNS Security Extensions
Определяет signing, authoritative serving и resolver validation behavior DNSSEC.
- Domain Names — Implementation and Specification
Задаёт DNS wire format, master files и базовые resource records A, CNAME, MX, NS и SOA.