签名

DNSSEC 为 DNS 数据增加来源认证和完整性检查。RRSIG 对记录集签名，DNSKEY 发布验证密钥，父区 DS 则通过摘要标识一个子区 DNSKEY。父区签名的是自己的 DS 记录集，不是简单直接签署子区公钥。验证从配置的信任锚出发，沿这些关系抵达所请求数据。理解链中每类记录的责任，才能准确定位发布与验证之间的差异。 摘要边标识子区密钥；签名边验证记录集。来源使用本地 lab.test 锚，不测试公共根或注册商路径。经认证的无 DS 委派属于不安全状态，与损坏的安全链不同。制图未执行 DNSSEC 实验，也未创建密钥。 坏掉的样子 如果委派没有建立预期信任路径，仅发布签名并不足够。缺失 DS 可能让子区处于不安全状态，错误 DS 则可能让原本应安全的子区验证失败；这是不同状态。已经安全证明不存在 DS，并不要求把每个未签名或独立签名的子区回答都当成无效数据拒绝。不能把“没有形成认证链”和“已有安全链却证明失败”混成一种结果。 ...