Resumo

  • O RFC 8976 define o registro ZONEMD no ápice para que o receptor recalcule o resumo da zona completa e o compare com o valor publicado, independentemente do transporte.
  • Quando autenticado por DNSSEC, o ZONEMD pode confirmar integridade e autenticidade de origem; sem DNSSEC, funciona apenas como soma de verificação contra alterações acidentais.

Análise

O AXFR entrega uma zona inteira, o IXFR entrega mudanças incrementais e um arquivo de zona também pode circular por HTTP ou outro canal externo ao DNS. O êxito de qualquer desses meios não demonstra sozinho que o conjunto final de registros corresponde à intenção do publicador.

O ZONEMD é o tipo de RR 63. Seus dados vinculam o resumo ao serial do SOA, a um esquema de ordenação e a um algoritmo de hash. O receptor calcula o valor sobre sua própria cópia depois da entrega. Pela especificação, um ZONEMD fora do ápice não tem significado para verificação.

O esquema SIMPLE processa os registros em formato de fio e ordem canônicos. Ele inclui os dados da zona segundo regras definidas, mas exclui o ZONEMD provisório e a assinatura que cobrirá o RRset final. O SOA correspondente e o ZONEMD precisam ser publicados juntos, evitando que um resumo seja associado à versão errada da zona.

A IANA registra SIMPLE como esquema 1, SHA-384 como algoritmo 1 e SHA-512 como algoritmo 2. O RFC 8976 exige suporte a SHA-384 na implementação do esquema especificado e também define SHA-512. Vários pares de esquema e algoritmo podem facilitar transições, embora aumentem o trabalho de cálculo e operação.

Uma divergência prova que há desacordo; não diagnostica a causa. Transferência incompleta, serial antigo, entrada canônica diferente, erro na sequência de assinatura ou modificação inesperada continuam sendo hipóteses distintas. O operador receptor precisa preservar os dois cálculos, isolar a cópia e reconciliar os estados antes de promovê-la ao serviço.

O limite operacional é explícito. SIMPLE recalcula a zona inteira a cada atualização. O RFC 8976 considera o mecanismo, como especificado, impraticável para zonas grandes e muito dinâmicas, embora permita futuros esquemas. As fontes deste pacote não demonstram adoção por qualquer operador nomeado, custo universal de desempenho ou incidente evitado.

Fontes