요약

  • RFC 9083은delegationSigned를 부모에 DS 레코드가 존재할 때 참으로 정의하며,zoneSigned와 DS 또는 키 데이터는 RDAPsecureDNS객체의 별개 부분입니다.
  • 이 필드는 등록 근거이지 실시간 검증 결과가 아닙니다. 방어 가능한 DNSSEC 결론에는 최신 부모 DS, 자식 DNSKEY 및 RRSIG 데이터, 권위 서버 도달 가능성, 시간 유효성, 식별된 검증기의 결과도 필요합니다.

범위가 좁은 정밀한 불리언

84.7.200.in-addr.arpa에 대해 표본으로 추출한 LACNIC 응답은 현재 노출하는 내용에 대해 모호하지 않습니다. 이 객체는 도메인 기록입니다. 세 개의 네임서버를 나열하며,zoneSigned와delegationSigned값이 모두 거짓이고dsData배열이 비어 있는secureDNS객체를 포함합니다.

이는 관측 시점에 LACNIC이 반환한 기록에 대한 유용한 근거입니다. LACNIC 지역의 모든 역방향 영역에 대해 일반화할 권한이 아니며, 나열된 서버의 실시간 상태를 보고하지도 않습니다. 응답에는 리졸버 추적도, 이를 재구성하는 데 필요한 패킷도 없습니다.

부모 DS 존재는 체인의 한 고리

RFC 9083은 필드 의미를 의도적으로 분리해 둡니다.zoneSigned는 영역이 서명되었는지를 나타냅니다.delegationSigned는 부모에 DS 레코드가 존재하는지를 나타냅니다.dsData는 DS 레코드의 키 태그, 알고리즘, 다이제스트, 다이제스트 유형을 기술할 수 있고,keyData는 DNSKEY 자료를 담을 수 있습니다.

이러한 필드는 등록 데이터를 기술합니다. DNSSEC 검증은 특정 시점에 실시간 DNS 응답 체인에 대해 수행되는 작업입니다. 검증기는 부모 DS를 얻고, 자식의 DNSKEY와 서명된 레코드를 가져오고, 다이제스트와 알고리즘을 비교하고, 서명과 시간 경계를 확인하고, 도달 가능성 또는 응답 실패를 처리해야 합니다. RDAP 불리언은 이러한 단계를 조용히 수행할 수 없습니다.

참과 거짓 모두 규율 있는 표현을 요구

delegationSigned가 참일 때 방어 가능한 서술은 "RDAP 표현은 부모에 DS 레코드가 존재한다고 말한다"입니다. 이는 자식이 일치하는 DNSKEY를 공개한다는 것, 서명이 최신이라는 것, 체인이 신뢰 앵커에 도달한다는 것, 특정 리졸버가 검증에 성공한다는 것을 증명하지 않습니다.

값이 거짓일 때 RDAP 표현은 이 필드의 정의에 따라 부모 DS 레코드가 없다고 말합니다. 이것만으로 그들이 없는 이유, 변경이 예정되어 있는지, 다른 시점에 수행한 다른 관측이 같은 결과를 낼지 확립되지 않습니다. 관측은 URL, 응답 바이트, 수집 시각을 보존해야 합니다.

두 표면의 근거 기록을 구축하라

레지스트리 표면은 정확한 RDAP 도메인 URL,ldhName, 네임서버 목록,secureDNS값, DS 또는 키 배열, 응답 해시, 검색 시각을 보존해야 합니다. 운영 표면은 부모 및 자식 DNS 질의, 서버 주소, 응답 코드, 권위 플래그, DNSKEY, DS, RRSIG 레코드, 검증기 출력, 시계 맥락을 별도로 보존해야 합니다.

두 표면을 비교한 후에야 분석가가 현재 검증 상태를 기술할 수 있습니다. 그때조차 결과는 식별된 관측 지점과 시각에 귀속됩니다. 암호화 체인이 성공했다는 이유만으로 호스트의 소유권, 계약상 권한 또는 통제를 확립하지 않습니다.

출처