Kiểm tra chữ ký

Một phần của tài liệu CÁC THAY ĐỔI TRONG GIAO THỨC ĐỐI VỚI PHẦN MỞ RỘNG BẢO MẬT DNS (DNSSEC) Protocol Modifications for the DNS Security Extensions (Trang 28)

Khi Resolver đã xác nhận bản ghi RRSIG như được trình bày trong mục 7.3.1 và xây dựng lại dữ liệu được ký ban đầu như được trình bày trong mục 7.3.2, Resolver có thể thử sử dụng chữ ký mật mã để xác thực dữ liệu được ký này và (cuối cùng) xác thực tập bản ghi này.

Trường Algorithm trong bản ghi RRSIG xác định thuật toán mật mã được sử dụng để tạo chữ ký. Chữ ký này được chứa trong trường Signature của RRSIG RDATA và khóa công khai được sử dụng để kiểm tra chữ ký được chứa trong trường Public KEY của (các) DNSKEY phù hợp (tìm thấy trong mục 7.3.1) RFC 4034 cung cấp một danh sách các loại thuật toán và cung cấp các con trỏ đến các tài liệu hướng dẫn sử dụng từng thuật toán này.

Chú ý rằng việc thỏa mãn các điều kiện trong mục 7.3.1 đối với nhiều hơn 1 bản ghi DNSKEY là khả thi. Trong trường hợp này, Resolver chỉ có thể xác định bản ghi DNSKEY nào là đúng bằng cách thử từng khóa công khai phù hợp cho tới khi Resolver thành công trong việc xác nhận chữ ký này hoặc hết các khóa để thử.

Khi trường Labels của bản ghi RRSIG không bằng số các nhãn trong tên sở hữu đủ điều kiện hoàn toàn của bản ghi RRSIG thì tập bản ghi này là không hợp lệ hoặc là kết quả của phần mở rộng ký tự đại diện. Resolver phải kiểm tra xem phần mở rộng có được áp dụng đúng trước khi xem xét tập bản ghi có xác thực. Mục 7.3.4 trình bày cách xác định xem ký tự đại diện có được áp dụng đúng không. Khi các bản ghi RRSIG khác cũng bao trùm tập bản ghi này, chính sách bảo mật Resolver nội bộ xác định liệu Resolver này cũng phải kiểm tra các bản ghi RRSIG này và cách xử lý các xung đột khi các bản ghi RRSIG này dẫn đến các kết quả khác nhau.

Khi Resolver này chấp nhận tập bản ghi là xác thực, phần xác nhận phải thiết lập TTL của bản ghi RRSIG và từng bản ghi trong tập bản ghi được xác thực theo giá trị không lớn hơn giá trị tối thiểu của:

− TTL của tập bản ghi nhận được trong trả lời; − TTL của bản ghi RRSIG nhận được trong trả lời;

− Giá trị trong trường TTL ban đầu của bản ghi RRSIG và

− Chênh lệch giữa thời gian hết hạn của chữ ký của bản ghi RRSIG và thời gian hiện tại.

Một phần của tài liệu CÁC THAY ĐỔI TRONG GIAO THỨC ĐỐI VỚI PHẦN MỞ RỘNG BẢO MẬT DNS (DNSSEC) Protocol Modifications for the DNS Security Extensions (Trang 28)

Tải bản đầy đủ (DOC)

(48 trang)
w