#trust_anchor — Public Fediverse posts

Полгода мой резолвер не проверял DNSSEC: узнал об этом от чужого теста, а не от мониторинга

dnssec-failed.org отдавался как NOERROR: мой резолвер полгода принимал ответы с битыми подписями и выглядел при этом абсолютно здоровым. Нашёл это не мониторинг, а публичный тест DNS-OARC — пять проверок зелёные, шестая красная. Разбираю, почему отсутствие свойства безопасности не ловится алертами в принципе, как первая попытка включить валидацию уронила unbound в crash-loop (auto-trust-anchor-file требует запись в каталог, а образ работает в chroot под непривилегированным пользователем), чем платит статический trust anchor и сколько валидация стоит в latency. Замерил: 24 мс на подписанных зонах против 28 мс на неподписанных. То есть нисколько.

https://habr.com/ru/articles/1076494/

#DNSSEC #unbound #RFC_5011 #trust_anchor #DNSOARC #валидация_DNS #резолвер #SERVFAIL #chroot #rootkey

DNSSEC validation на Go: написал свой validator и не до конца сошёл с ума

Я пилю VantageDNS, privacy-focused recursive DNS-резолвер с фильтрацией. Edge-фронт на Go, 10 нод по миру, миекговский miekg/dns под капотом. На каком-то этапе у меня закончились отговорки, и пришлось писать DNSSEC validator. Своими руками. Ночью. Под кофе восьмой кружки. Ниже расскажу, как устроен trust chain, что есть в стандартной библиотеке, какие грабли разложены по дороге, и почему алгоритм 14 я до сих пор обхожу как кота во дворе. И не сошёл с ума

https://habr.com/ru/articles/1035656/

#DNSSEC #RFC_4033 #Go #NSEC3 #trust_anchor #validation #RRSIG #DS #golang