الخلاصة

  • يصادق NSEC وNSEC3 على قضايا سلبية محددة عن محتوى منطقة موقعة. يرتبط الدليل بالموقّع وحدود المنطقة والاستعلام وTTL وفترة صلاحية التوقيع.
  • يسمح Opt-Out بإسقاط بعض التفويضات غير الآمنة من سلسلة NSEC3. وقد يثبت عدم وجود DS موثّق من دون أن يثبت أن كل اسم متروك غير موجود.

معنى «غير موجود» أضيق مما يبدو

يطلب المحلل سجل عنوان غير موجود. فيعيد الخادم الموثوق NXDOMAIN، أو يعيد اسماً موجوداً من دون النوع المطلوب. إذا كانت المنطقة موقعة، يستطيع المحلل التحقق من سلسلة الثقة والتواقيع وسجلات NSEC أو NSEC3 التي تسند النتيجة السلبية.

هذه حماية حقيقية من استبدال جواب إيجابي بنفي مزوّر. لكن RFC 4035 يصوغ النتيجة بدقة: مجموعة السجلات غير موجودة في منطقة موقعة. لا يقول إن الاسم لم يوجد قط، ولا يفصل في حقوق عقدية، ولا يثبت عدالة قرار إداري.

قد يغيب الاسم لأنه لم يسجل، أو انتهت مدته، أو عُلّق، أو فشلت عملية provisioning، أو نُقل التفويض، أو نشر الموقّع منطقة خاطئة. يميّز DNSSEC البيان الموثق من غير الموثق. ولا يختار وحده بين هذه الأسباب.

يحول NSEC الترتيب إلى حجة

يربط NSEC كل owner name بالاسم التالي وفق الترتيب القياسي، ويحمل bitmap بأنواع السجلات الموجودة عند الاسم الأول. تثبت الفترة الموقعة عدم وجود owner name بين طرفيها. وتثبت الخريطة أن الاسم موجود لكنه لا يملك النوع المطلوب.

لذلك يختلف NXDOMAIN عن NODATA. الأول ينفي الاسم، والثاني ينفي نوعاً. وقد يكون empty non-terminal بلا RRset خاص به مع وجود أسماء تحته. وتضيف wildcard اختباراً آخر: لا يكفي نفي التطابق التام إذا كان مصدر wildcard أقرب قادراً على إنتاج الجواب.

فالنتيجة الموثقة ليست خانة «مفقود». على المحلل تحديد المنطقة التي يفترض أن تحمل البيانات، والفترة التي تغطي الاسم، والخريطة التي تغطي النوع، واحتمال wildcard، ومدة التوقيع، وروابط DS وDNSKEY حتى trust anchor المحلي.

ويكشف ترتيب NSEC أسماء المنطقة بما يسمح بتتبعها. جاء NSEC3 جزئياً لتقليل هذا الكشف المباشر. لكن المقايضة تبقى: قد تزيد قابلية التدقيق من رؤية البنية التشغيلية.

يخفي NSEC3 الأسماء ولا يجعلها سراً

يحسب NSEC3 hash للأسماء بمعلمات منشورة، ثم يوقع فترات من القيم الناتجة. يعيد المحلل الحساب للـ closest encloser والاسم المطلوب ومرشح wildcard.

تظل الأسماء القابلة للتخمين قابلة للاختبار خارج الشبكة. يسجل IANA حالياً SHA-1 وحده كخوارزمية hash مخصصة لـNSEC3. ويوضح RFC 9276 أن زيادة iterations ترفع كلفة التوقيع والتحقق من دون حماية متناسبة من التخمين الحديث. الإرشاد المعتاد هو صفر iterations وsalt فارغ، واختيار NSEC عندما لا يكون تعداد المنطقة مشكلة.

هذه حجة لصالح الآلية الدنيا: لا تعني القيمة الأكبر سياسة أمنية أفضل. ينبغي قياس ما يحميه الكود العامل ومن يدفع الكلفة المشتركة.

يترك Opt-Out مساحة لا يحسمها الدليل

تكبر مناطق التفويض الضخمة كثيراً إذا احتاج كل child بلا DS إلى NSEC3 وتوقيع مستقلين. يسمح Opt-Out بإغفال بعض التفويضات غير الآمنة وما ينشأ عنها من empty non-terminals.

يغير ذلك معنى الدليل. ينص RFC 7129 على أن NSEC3 Opt-Out لا يستطيع إثبات وجود الأسماء داخل فترته ولا نفيه. قد يساعد على إثبات أن DS موثقاً لم يؤمّن التفويض، وأن المسار ينبغي أن يعامل على أنه insecure. لكنه لا يجيز تخزين name_absent=true لكل تسمية متروكة.

ينبغي أن يحفظ السجل الفترة وعلم Opt-Out وغياب DS واحتمال وجود تفويض غير آمن ونتيجة المحلل النهائية كلٌّ على حدة. الواجهة التي تعرض «موثق» باللون الأخضر فقط تحذف أهم قيد في الدليل.

أثناء النزاع قد يكون child بلا DS مفوضاً فعلاً داخل فترة Opt-Out. لا يحسم دليل الأب نية registry، ولا اتساق جميع الخوادم الموثوقة، ولا شرعية المعاملة.

قد تجيب الذاكرة المخبأة من دون سؤال جديد

يعرّف RFC 2308 negative caching. ويسمح RFC 8020 باعتبار NXDOMAIN نقطة قطع مؤقتة للأسماء تحتها. ويسمح RFC 8198 للمحلل الموثق بتركيب أجوبة سلبية جديدة من فترات NSEC أو NSEC3 محفوظة ومتحقق منها.

يقلل ذلك التأخير والتحميل وتسرب الاستعلامات المتكررة. لكنه يجعل المحلل حارساً للدليل. قد يتلقى المستخدم نفياً صحيحاً من الذاكرة من دون اتصال حديث بالخادم الموثوق. وإذا تغيرت المنطقة، قد يظل الدليل القديم صالحاً حتى نهاية TTL والتوقيع.

تحتاج المراجعة إلى الاسم والنوع والرمز والمنطقة وسجلات الدليل وclosest encloser وwildcard وOpt-Out ووقت الاستلام وTTL وبداية التوقيع ونهايته وسلسلة الثقة، مع توضيح هل جاء الجواب من السلطة أم رُكّب محلياً. صورة NXDOMAIN ليست سجلاً للمسؤولية.

الدليل السلبي ليس أمراً بالحذف

يسيطر registry وregistrar على معاملات مختلفة، وينشر مشغل DNS الموثوق المنطقة، وقد يحتفظ المسجل بحقوق عقدية، ولا تملك هيئة المراجعة إلا العلاج المحدد لها، ويدير المحلل ذاكرته. لا يدمج NSEC هذه السلطات.

لا يثبت التوقيع أن إشعاراً أُرسل، أو أن دفعاً تأخر، أو أن الأهلية انتهت، أو أن الطعن استنفد. ولا يمنح الاسم لطرف ثالث، ولا يجعل الموقّع مالكاً للحق الأساسي.

تربط سلسلة المحاسبة بين أربعة سجلات من دون خلطها: التسجيل أو الأهلية؛ قرار provisioning المأذون؛ نسخة المنطقة الموقعة؛ ملاحظات المحللين المتحقق منها. المنطقة هي الواقع العام العامل. وتشرح السجلات الأخرى كيف تكوّن ولماذا قد يحتاج إلى تصحيح.

طبقة مشتركة رقيقة

يضع مبدأ الطبقة الدنيا لدى Heng Lu الحد الصحيح. تحتاج الطبقة المشتركة إلى التفريق بين بيانات موثقة وغياب موثق وتفويض غير آمن ودليل bogus. ولا تحتاج إلى محكمة عالمية تقرر من يستحق الاسم.

تحدد النتيجة التقنية zone cut وسلسلة DS/DNSKEY والمعلمات والفترات وOpt-Out وwildcard وTTL ونافذة التوقيع وسياسة المحلل. لا تصلح الوثيقة السياسية دليلاً باطلاً، ولا يحول توقيع صالح السياسة الخاصة إلى سيادة.

الخلاصة الدقيقة ضيقة: يصادق DNSSEC على ما لم تتضمنه منطقة موقعة في زمن محدود. ويبقى سبب الغياب والحق في الاسم قرارين منفصلين.

المصادر