O DNECec NSEC3 requer suporte do registrador, do servidor DNS ou de ambos?

Question

Estou interessado em obter suporte NSEC3 para o meu domínio getvalid.com, para que eu possa impedir a travessia de nomes.

DYN parece não suportar o NSEC3 , e está claro que o BIND e o servidor DNS Exigir a capacidade de suporte NSEC3 ... mas não tenho certeza se o registrador subjacente tem alguma influência sobre o suporte NSEC3.

Preciso fazer alguma coisa com um registrador para NSEC3?

    

Answer 1

No DNSSEC, a função dos servidores de nomes raiz e intermediários é fornecer uma cadeia de confiança até que um servidor de nomes autoritativo para sua zona seja alcançado. Além de hospedar a chave pública DS associada à sua zona assinada, eles não têm nenhum papel na validação NSEC3.

Para que o NSEC3 funcione, você precisa assinar sua zona usando um algoritmo que exige suporte para o recurso. Os algoritmos mais antigos são suportados por meio de variantes que contêm um identificador -NSEC3- . Os Resolvers não tentarão utilizar a funcionalidade mais recente, a menos que o suporte seja anunciado dessa maneira. Se a zona foi assinada corretamente, tudo o que você precisa fazer é seguir as etapas habituais para obter o resumo da chave DS publicado no servidor de nomes imediatamente antes do seu na cadeia de delegação.

De RFC5155 :

In order to aid deployment, this specification uses a signaling technique to prevent NSEC3-unaware resolvers from attempting to validate responses from NSEC3-signed zones.

This specification allocates two new DNSKEY algorithm identifiers for this purpose. Algorithm 6, DSA-NSEC3-SHA1 is an alias for algorithm 3, DSA. Algorithm 7, RSASHA1-NSEC3-SHA1 is an alias for algorithm 5, RSASHA1. These are not new algorithms, they are additional identifiers for the existing algorithms.

Zones signed according to this specification MUST only use these algorithm identifiers for their DNSKEY RRs. Because these new identifiers will be unknown algorithms to existing, NSEC3-unaware resolvers, those resolvers will then treat responses from the NSEC3 signed zone as insecure, as detailed in Section 5.2 of [RFC4035].

    

Answer 2

Contanto que o registrador permita que você adicione qualquer registro DS válido que você deseja à delegação de sua zona, o registrador não será um fator.

Algumas coisas que um registrador pode fazer que causam um problema são:

• se eles não permitirem que você adicione DS registros, você simplesmente não poderá ter uma delegação assinada (com DLV como solução potencial), não um problema específico para NSEC3, mas para DNSSEC em geral

• se eles impuserem limites no valor do registro DS (especificamente no campo do algoritmo) que poderia forçá-lo a usar um algoritmo anterior à NSEC3.

A limitação de algoritmos não é algo que eu tenha encontrado, mas é pelo menos teoricamente possível que alguém possa ter um código de validação desatualizado ou algo assim.