Dotaz: DNSSEC algoritmy

[Jara]

Ví(*) někdo jak chovají validující nameservery, když neznají algoritmus podepisujícího klíče?

* Opravdu ví a ne se domnívá jak by se měly chovat!

Odpovědi

[j]

Opravdu vi = zna vsechny DNS co jsou na planete a jejich konfiguraci? Protoze na ty to zalezi predevsim.

V RFC je pokud dobre vidim napsano, ze s takovou domenou "by mel" nalozit, jako by podepsana nebyla. Jak sni nalozi ve skutecnosti zalezi na tom, co si preje administrator.

[rastos]

"Někdo" to určite ví. Sorry, já to nejsem

Ale môj tip je ten, že identifikátor algoritmu je v RRSIG tak ako to chce RFC 4034. Konkrétne hodnoty sú tam v Appendix A. A ten zoznam asi bol ešte niekde rozšírený, pretože capture z môjho servera ukazuje hodnoutu 8 čo wireshark označí za "RSA/SHA-256" ...(po 5 minútach)... To "niekde" bude v RFC 5702 časť 2.1.

[rastos]

Um, ... ty sa pýtaš, čo urobí nejaká konkrétna implementácia DNS servera ak narazí v tom field-e na hodnotu, ktorú nepozná? Mno, tak to už vôbec netuším. To sa musíš asi spýtať tvorcu tej konkrétnej implementácie DNS servera.