Кратко

  • Защищённый контекст DoC подтверждает обмен между своими конечными точками, а не последующий DNS-маршрут сервера.
  • Источник обнаружения, контекст, ответ, вышестоящий транспорт, DNSSEC и принятие приложением — разные свидетельства.

RFC 9953 переносит DNS-вопрос и ответ в обмен CoAP. DTLS, TLS либо OSCORE способны защитить этот участок, что особенно полезно для ограниченных устройств. Однако охват утверждения заканчивается там, где заканчивается общий контекст.

Стандарт прямо допускает, что сервер DoC общается с вышестоящей DNS-инфраструктурой без защиты, например по DNS/UDP. Он может использовать другой защищённый контекст, но для клиента DoC это непрозрачно на уровне протокола. Поэтому безопасный первый участок не доказывает свойства рекурсивного сервера, кэша, авторитетного сервера или следующего канала.

Обнаружение сервера также не является универсальной квитанцией доверия. Клиент должен знать сервер и ресурс, а автоматическая настройка должна поступать от доверенного источника. Это подтверждает происхождение настройки, но не проверку DNSSEC конкретного ответа и не принятие его приложением. Способ выражения такого доверия RFC оставляет вне области действия.

Проверяемая запись связывает источник обнаружения, URI, контекст и срок, вопрос, ответ, вышестоящее свидетельство при соответствующем заявлении, проверку и локальное решение. Амзюсс — один из авторов коллективного стандарта, а не оператор указанного резолвера.

Источники