Кратко

  • RFC 8976 определяет запись ZONEMD на вершине зоны, чтобы получатель мог пересчитать дайджест полной зоны и сравнить его с опубликованным значением независимо от способа передачи.
  • ZONEMD, аутентифицированный с помощью DNSSEC, способен подтвердить целостность и происхождение зоны; без DNSSEC он остаётся лишь контрольной суммой против непреднамеренных изменений.

Анализ

AXFR передаёт полную зону, IXFR — изменения, а файл зоны может распространяться по HTTP или через другой канал вне DNS. Успех любого из этих способов не доказывает автоматически, что итоговый набор записей соответствует намерению издателя.

ZONEMD имеет тип ресурсной записи 63. Его данные связывают дайджест с серийным номером SOA, схемой упорядочения и алгоритмом хеширования. После доставки получатель вычисляет значение по собственной копии. Согласно RFC 8976, запись ZONEMD вне вершины зоны не имеет значения для проверки.

Схема SIMPLE обрабатывает записи в каноническом формате и порядке. Она включает данные зоны по установленным правилам, но исключает временную запись ZONEMD и подпись, которая будет покрывать окончательный RRset. Соответствующие друг другу SOA и ZONEMD необходимо публиковать одновременно, чтобы дайджест не оказался связан с другой версией зоны.

В реестре IANA SIMPLE имеет значение схемы 1, SHA-384 — значение алгоритма 1, SHA-512 — 2. RFC 8976 требует поддержки SHA-384 для реализации описанной схемы и также определяет SHA-512. Несколько сочетаний схемы и алгоритма помогают при переходе, но увеличивают вычислительную и эксплуатационную сложность.

Несовпадение дайджестов доказывает расхождение, но не устанавливает его причину. Возможны неполная передача, устаревший серийный номер, разные канонические входные данные, ошибка в последовательности подписания или непреднамеренное изменение. Оператор принимающей стороны должен изолировать копию, сохранить оба расчёта и сверить состояние с издателем до ввода в обслуживание.

Эксплуатационная граница сформулирована прямо. SIMPLE пересчитывает всю зону при каждом обновлении. RFC 8976 считает описанный механизм непрактичным для больших и часто изменяющихся зон, хотя формат допускает будущие схемы. Источники пакета не подтверждают внедрение у какого-либо названного оператора, универсальную стоимость производительности или предотвращённый инцидент.

Источники