Resumo

  • Um contexto DoC protegido demonstra a troca entre os seus extremos, não o caminho DNS que o servidor percorre depois.
  • Descoberta confiável, contexto, resposta, transporte a montante, DNSSEC e aceitação local são recibos diferentes.

A RFC 9953 leva a consulta DNS em uma solicitação CoAP e traz a resposta de volta por CoAP. DTLS, TLS ou OSCORE pode proteger esse trecho. É uma capacidade valiosa para dispositivos restritos, desde que a conclusão conserve o seu limite.

O texto diz que o servidor DoC pode usar comunicação desprotegida com a infraestrutura DNS a montante, inclusive DNS sobre UDP. Ele pode usar outro contexto protegido, mas isso é opaco ao cliente DoC no nível do protocolo. Logo, um primeiro salto seguro não comprova o recursor, cache, autoridade ou transporte seguinte.

Conhecer servidor e recurso também não fecha essa lacuna. Configuração automática deve vir de fonte confiável; isso prova a procedência da configuração, não que o servidor validou esta resposta com DNSSEC ou que a aplicação a aceitou. A forma dessa confiança fica fora do escopo da RFC.

O recibo completo une fonte de descoberta, URI, contexto e prazo, consulta, resposta, prova a montante quando alegada, validação e decisão local. Amsüss é coautor de uma norma coletiva, não operador de um resolvedor específico.

Fontes