Summary

  • Индивидуальный Internet-Draft от 23 октября предлагает проверять через DNS ключи и отзыв профилей, подтверждающих происхождение цифрового контента.
  • Издатель может разместить в собственном домене список допустимых эмитентов основного профиля. При подтверждении DNSSEC удостоверение от эмитента вне списка не пройдёт проверку.

На проходной предъявили безупречный пропуск. Охраннику осталось выяснить, просила ли редакция именно эту фирму его изготовить. В проекте Shigeya Suzuki такая проверка перенесена в DNS. Документ опубликован 23 октября и рассчитан на эксперимент. Карточка IETF называет его действующим индивидуальным Internet-Draft: официального одобрения IETF у него нет.

Предлагаемая схема Originator Profile связывает контент с его отправителем. Эмитент выдаёт издателю основной профиль с открытыми ключами, а издатель подписывает ими свои материалы. Другие эмитенты добавляют подтверждённые сведения в аннотациях. Проверка подписи сама по себе не говорит, действуют ли ключ и профиль сегодня. Записи OPKEY под меткой _op должны содержать отпечатки ключей и позволять установить состояние основного профиля. Для отзыва аннотации предложена отдельная запись TXT. Полные документы профиля в DNS не переносятся.

Решение, касающееся полномочий, находится в зоне самого издателя. Он вправе поместить запись SVCB по имени _op.<originator> и перечислить эмитентов основных профилей, которым доверяет. Когда список подтверждён DNSSEC, проверяющий сопоставляет с ним эмитента предъявленного документа. Организация может быть признана в общей системе, но не входить в список конкретной редакции. Такой список в проекте необязателен. Если правило применения не требует его и надёжной записи нет, издатель остаётся без закреплённого эмитента. Это сознательный выбор владельца домена, а не автоматическое свойство системы.

Состояние DNS нужно читать точно. Запись OPKEY годится только при безопасной проверке DNSSEC. Ответ из неподписанной зоны, недостоверное доказательство или сбой разрешения имени прекращают проверку, а не доказывают отсутствие записи. Для необязательной записи SVCB безопасно подтверждённое отсутствие может означать отсутствие закрепления; повреждённый ответ или тайм-аут означают отказ. Иначе поломку можно было бы выдать за разрешение впустить любого.

Отзыв вступает в силу не одновременно для всех наблюдателей. Проект берёт по часу жизни записи и отрицательного ответа как предполагаемые рабочие параметры. Прежний ответ может оставаться в кеше до истечения срока; старая подписанная копия или выдача устаревшего ответа способна продлить окно. В лаборатории с настройкой на 60 секунд изменение становилось видно через проверяющий резолвер не позднее 63 секунд. Это результат отдельного опыта, а не обещанный мировой срок отзыва.