요약

  • Sam Weiler가 집필한 RFC 5074는 부모 존이 일반적인 DS 연결을 제공하지 않는 서명된 존을 위한 세 번째 DNSSEC 검증 경로를 기술했다.
  • DLV는 신뢰의 필요성을 제거하지 못했다. 리졸버는 먼저 별도의 DLV 도메인에 대해 구성된 신뢰 앵커가 필요했고, 그 검증된 레코드가 DS 레코드를 대신할 수 있었다.
  • ISC는 2017년에 DLV 레지스트리 항목을 제거했지만 구형 리졸버를 위해 서명된 빈 존을 유지했으며, RFC 8749는 2020년에 일반적인 부모-루트 위임이 더 완전해짐에 따라 이 메커니즘을 퇴역시켰다.

체인이 부모에서 끊겼다

존은 DNSSEC 서명을 게시하면서도 리졸버가 검증하기 어려울 수 있다. 일반적인 경로에서는 부모 존이 자식의 DNSKEY를 부모의 서명된 데이터에 연결하는 Delegation Signer(DS) 레코드를 게시한다. 상위 조상이 서명되어 있지 않거나 레지스트라가 자식의 DS 레코드를 수락하지 않으면, 암호학적 체인은 단순히 위쪽으로 이어지지 못한다. 루트와 많은 최상위 도메인이 아직 서명되지 않았던 DNSSEC 초기 배포 시기에 이는 실질적인 장벽이었다.

DNSSEC Lookaside Validation은 또 다른 경로를 추가했다. RFC 5074는 별도로 서명된 DLV 도메인에 게시되는 DLV 레코드를 기술한다. DLV 도메인은 존이 자신의 자식이 아니더라도 선택된 대상 아래의 존에 대해 인증된 항목을 보유할 수 있었다. 검증 리졸버는 DS 레코드를 사용하듯 검증된 DLV 레코드를 사용한 후 존 내 서명 검증을 계속할 수 있었다. RFC 4431은 DLV 레코드 타입인 32769를 규정하며, Mark Andrews와 Sam Weiler가 그 레코드 사양을 공동 집필했다. Weiler는 리졸버 동작과 더 넓은 메커니즘을 문서화한 RFC 5074를 집필했다.

중요한 한계는 "신뢰 앵커"라는 이름에 있다. DLV는 리졸버가 낯선 레지스트리를 자동으로 신뢰하게 만들지 않았다. 운영자는 먼저 DLV 도메인에 대한 신뢰 앵커를 구성해야 했다. 따라서 이 시스템은 부모 체인에서 막힌 한 링크를, 리졸버 운영자가 수락하기로 선택한 다른 신뢰 원천으로 교환한 것이다. RFC 5074는 또한 일반적으로 적용 가능한 신뢰 앵커를 먼저 시도해야 하며, 정상 검증이 성공하면 DLV 처리가 필요하지 않다고 명시한다. 여러 DLV 도메인이 겹치는 경우 RFC는 우선순위를 구현체에 맡기고 그 선택을 운영자에게 노출할 것을 권고했다.

전환에는 통제된 종료가 필요했다

ISC에 따르면 그 DLV 레지스트리는 2006년에 DNSSEC 채택을 위한 임시 조력 수단으로 운영을 시작했다. 루트가 서명되고 부모-자식 DS 경로가 확산되면서 이 추가 경로는 덜 유용해졌다. W. Mekking과 Dan Mahoney가 2020년에 발행한 RFC 8749는 루트가 2010년 7월에 서명되었고 2019년 5월까지 1,531개 최상위 도메인 중 1,389개가 루트로부터 보안 위임을 갖추었다고 밝힌다. 이 RFC는 RFC 4431과 5074를 Historic 상태로 옮겼다.

퇴역은 단순한 표준 라벨 변경이 아니었다. ISC는 2017년 9월 30일에 DLV 레코드를 제거했지만dlv.isc.org를 서명된 빈 존으로 유지했다. ISC는 존을 완전히 제거하면 여전히 DLV를 사용하도록 구성된 구형 BIND 리졸버가 많은 클라이언트 쿼리에 대해 SERVFAIL을 반환할 수 있다고 보고했다. 빈 존은 그러한 낡은 구성이 폐기된 DLV 레코드를 찾지 않고도 확인을 수행하게 하면서, 레지스트리는 검증 주장을 중단하게 했다.

RFC 8749는 트레이드오프를 직접 제시한다: DLV는 부모 존이 서명하고 레지스트라가 DS 레코드를 수락하도록 하는 압력을 줄일 수 있었고, 검증 코드를 추가했다. 저자들은 BIND 9와 Unbound에의 구현을 보고했으며 알려진 사기업 사용은 없다고 밝혔다. 이 진술은 배포된 리졸버의 현재 수가 아니라 발행 당시의 기록을 기술한다. 증거는 제한된 결론을 뒷받침한다: DLV는 일반 체인이 개선됨에 따라 유용성이 감소한 과도적 신뢰 경로였으며, 운영자들은 낡은 구성을 위한 호환 기간을 계획했다.

Lu Heng의 Note 64는 편집적 렌즈로만 사용된다: 그것은 공통 메커니즘이 좁게 유지되는지, 변화가 실제 채택을 따르는지를 묻는다. 이것은 Weiler나 DLV에 대한 증거가 아니다.

출처