DNSSEC проверяет данные по цепочке доверия, DoT защищает транспорт до выбранного DNS-сервера в рамках своего режима. Один механизм не включает второй автоматически.
DNS и разрешение имён
Защита данных DNS — DNSSEC
Определение
DNSSEC — это набор расширений DNS, который позволяет резолверу проверить по подписям происхождение и целостность наборов записей, а также доказательство отсутствия данных. Проверка опирается на цепочку к доверенному якорю; трафик DNSSEC не шифрует.
Также ищут: DNSSEC · криптографическая защита DNS · Domain Name System Security Extensions
Зачем это знать
DNSSEC помогает обнаружить подмену данных, но требует согласованных ключей, подписей и делегирования. Наличие шифрованного канала или значка подписи не подтверждает завершённую проверку нужного ответа.
Связи из словаря
Карта понятия
Защита данных DNS — DNSSEC
Доказательная часть
Что подтверждено
DNSSEC позволяет резолверу проверять происхождение и целостность наборов записей DNS, а также криптографическое доказательство отсутствия данных.
Граница применимости: Проверка подписанных данных DNS от якоря доверия.
DNSSEC не шифрует трафик DNS и не заменяет проверку подлинности службы по TLS после разрешения имени.
Граница применимости: Подлинность данных DNS, конфиденциальность транспорта и проверка приложения.
Подписание зоны и проверка ответа — разные роли. Сервер может публиковать подписанные данные, а клиент или резолвер должен отдельно выполнить применимую проверку, чтобы получить защищённый результат.
Граница применимости: Роли участников DNSSEC по RFC 4033; факт размещения подписей не приравнивается к проверке каждым клиентом.
DNSSEC подписывает наборы записей определённого типа. Отдельная подпись в сообщении не означает, что все данные в остальных секциях тоже прошли проверку.
Граница применимости: Наборы записей и RRSIG по RFC 4034; состояние всего ответа определяется проверяющим участником.
Подписанная зона может доказать отсутствие имени или типа записи. Для этого используются специальные подписанные данные, а не только код отрицательного ответа.
Граница применимости: Базовый механизм NSEC в RFC 4034 и RFC 4035; один флаг или пустая секция доказательством не являются.
Успешная проверка требует не только математически подходящей подписи, но и применимого доверенного пути и допустимого времени действия. Самоподписанный набор ключей не создаёт доверие из ничего.
Граница применимости: Модель доверия и проверка DNSSEC по RFC 4033 и RFC 4035; управление локальными якорями требует отдельной процедуры.
Успешная DNSSEC-проверка подтверждает происхождение опубликованного набора, но не правильность выбранного администратором адреса для задачи. Подписанная ошибка настройки остаётся ошибкой настройки.
Граница применимости: Редакторский вывод из авторитетного опубликования DNS и целей DNSSEC; криптографии не приписывается проверка бизнес-смысла записей.
Граница терминов
Не путать
DNSSEC — набор механизмов подписи и проверки. Валидация — их применение к конкретным данным и условиям, которое может закончиться защищённым, незащищённым, ошибочным или неопределённым исходом.
Перед спецификацией
Что проверить
- Уточните, кто подписывает зону и кто проверяет ответ для клиента.
- Проверьте ожидаемый якорь и всю применимую цепочку к нужной зоне.
- Свяжите RRSIG с конкретным набором записей, ключом и покрываемым типом.
- Сверьте время проверки со сроками подписей.
- Для отрицательного ответа проверьте соответствующее доказательство отсутствия.
- Отдельно подтвердите доверие к резолверу и пути получения результата проверки.
- После защищённого ответа проверьте правильность адреса и работу нужной службы.
Открытые основания
Первоисточники
- Protocol Modifications for the DNS Security Extensions
Определяет signing, authoritative serving и resolver validation behavior DNSSEC.
- Service Identity in TLS
Задаёт construction и verification reference identifiers для TLS services; server identity находится в subjectAltName, не в commonName.
Утверждения: 02
- Resource Records for the DNS Security Extensions
Определяет DNSKEY, RRSIG, NSEC и DS resource records и canonical form для signatures.
- Domain Names — Concepts and Facilities
Определяет иерархию DNS, zones, authoritative data, referrals и resolver algorithm.
Утверждения: 07
- Specification for DNS over Transport Layer Security
Определяет DNS over TLS transport, privacy profiles и server authentication requirements.