Key tag DNSSEC не является уникальным fingerprint ключа
Фотография конкретного исполнения не приложена.
Короткий числовой tag удобен в журналах и интерфейсах. Однако его совпадение не доказывает, что два наблюдателя видят один и тот же DNSKEY. Для инвентаризации и rollover нужно сохранять более полное соответствие.
RFC 4034 прямо допускает разные keys с одинаковыми owner, algorithm и key tag. Tag помогает ограничить набор кандидатов, но не заменяет криптографическую проверку подписи. Поэтому поиск единственной записи по этому числу способен неверно связать RRSIG с key material.
При расследовании важны полный DNSKEY, owner, algorithm и контекст зоны. Нельзя считать tag глобально уникальным номером или переносить его без уточнений между несвязанными зонами. Также одинаковый tag у старого и нового материала не доказывает отсутствие реальной смены ключа.
В приёмке сохраняют полные references и результат проверки каждого нужного RRset. Для автоматизации определяют корректное поведение при нескольких кандидатах. Отчёт должен показывать доказанное соответствие. Одна совпавшая цифра key tag в parent UI и signer log не подтверждает, что DS и RRSIG относятся именно к ожидаемому DNSKEY.
Основание — Numbered DNSSEC chain, denial, key lifecycle and zone-integrity references with selected explicit updates, разделы RFC4034 AppendixB Key Tag Calculation; candidate key selection. Сохранён текст публичной справочной публикации; конкретная реализация может поддерживать только часть возможностей. Основание — указанные номерные RFC DNSSEC и целостности DNS-зон. Это разбор механизмов, а не полный актуальный профиль algorithms. Реальные signer, resolver, trust anchors, parent policy и ключи не проверялись; DNS-запросы, публикация zones и изменения делегации не выполнялись.
Запросы отправляются на наш e-mail из вашей почтовой программы.
