Resumen

  • RFC 8976 define el registro ZONEMD en el ápice para comparar el resumen de una zona recibida con el publicado, con independencia del transporte.
  • Autenticado por DNSSEC puede demostrar integridad y origen; sin DNSSEC solo detecta cambios accidentales como suma de comprobación.

Análisis

AXFR entrega una zona completa, IXFR cambios y un archivo puede viajar fuera del DNS. Ninguno de esos canales demuestra por sí solo que el conjunto final coincide con la intención del editor.

ZONEMD, tipo 63, vincula el resumen al serial SOA, un esquema y un algoritmo. El receptor recalcula la zona. Un registro fuera del ápice no sirve para verificar según la especificación.

SIMPLE procesa los registros en formato y orden canónicos. Incluye los datos bajo reglas definidas y excluye el ZONEMD provisional y la firma que cubrirá el RRset final. El SOA y su ZONEMD deben publicarse juntos. IANA registra SIMPLE=1, SHA-384=1 y SHA-512=2.

Una discrepancia prueba desacuerdo, no su causa. Puede deberse a transferencia incompleta, serial obsoleto, entrada canónica distinta, orden de firma o modificación inesperada. El operador receptor necesita conservar ambos cálculos y reconciliar estados antes de promover la copia.

SIMPLE recalcula toda la zona; RFC 8976 lo considera poco práctico para zonas grandes y dinámicas. Las fuentes no prueban adopción, coste o incidentes evitados en ningún operador concreto.

Fuentes