# DNSSEC 信任链与 RDAP 审计器

端到端审计域名：IANA RDAP bootstrap 引荐、注册局/注册商 WHOIS 数据，以及从根 KSK 经 TLD DS 到域名 DNSKEY 的 DNSSEC 信任链——带 DS 摘要验证与 RRSIG 过期标记。

> 标准页面: https://elysiatools.com/zh/tools/whois-rdap-dnssec-chain-validator-and-iana-bootstrap-trust-auditor

- **分类:** Network

- **关键词:** dnssec 验证, dnssec 信任链, rdap 查询, whois rdap, ds 记录检查, dnskey 验证, rrsig 过期, 根信任锚, 域名审计, iana bootstrap

## 概述

审计器以九个 pass/fail 步骤走完域名的完整信任链。先查 IANA RDAP bootstrap 注册表（data.iana.org/rdap/dns.json）发现该 TLD 的权威注册局服务器，再经 RDAP 查询注册数据——注册商实体、创建/到期事件、EPP 状态码、域名服务器与注册局的 secureDNS 视图。与此同时，DNSSEC 侧经 DNS-over-HTTPS（阿里 DNS，可故障转移到 Cloudflare/Google，可选）解析：先取根 DNSKEY 集合并对照内置根信任锚（KSK-2017 tag 20326 与 KSK-2024 tag 38696，与 IANA 公布的 root-anchors.xml 一致）逐个重算 SHA-256 DS 摘要，然后逐级下行——根为 TLD 发布的 DS 从 TLD DNSKEY RDATA 重算，TLD 为域名发布的 DS 从域名 DNSKEY RDATA 重算，逐字节比对。不匹配、过期或临期 RRSIG 签名（对 32 位时间字段做序列号算术）、未签名委托与缺失 DS 记录都会连同确切的 key tag、算法与计算摘要一并标记。范围说明：DS↔DNSKEY 摘要匹配是委托链的密码学纽带；每个 RRset 的 RRSIG 完整签名验证通过解析器 AD 标志与到期检查报告，而非本地 RSA/ECDSA 验签。

## 输入项

- **域名** (text): example.com
- **DoH 解析器** (select)
- **包含 RDAP 注册局数据** (checkbox)

## 适用场景

- 在启用或迁移域名 DNSSEC 时验证父子区域 DS 与 DNSKEY 摘要匹配情况
- 排查因 RRSIG 签名过期、Key Tag 不匹配或委托断裂导致的 DNS 解析失败
- 审计域名的权威注册局 RDAP 详情、EPP 状态码、域名服务器及 secureDNS 视图

## 工作原理

- 通过 IANA RDAP bootstrap 注册表定位 TLD 权威服务器，发起 RDAP 查询获取注册商、状态码与 secureDNS 记录
- 经由 DoH 获取根区 DNSKEY 记录，并与内置 IANA 根信任锚（KSK-2017 与 KSK-2024）重算比对 SHA-256 摘要
- 自根区向下逐级重算 TLD DS 与域 apex DS 摘要，比对 DNSKEY RDATA 确保委托链密码学完整
- 依据 32 位序列号时间算法评估 RRSIG 生效与过期时间，并结合 DoH 解析器 AD 标志输出 9 步核验结果

## 使用案例

- 域名上线或 DNS 服务商迁移后的 DNSSEC 链完整性验证与签名有效期审计
- 企业安全运维团队定期排查域名防篡改配置及 TLD 注册局 RDAP 状态变动
- DNS 故障排查中快速确认是否由 DS 摘要不匹配或 RRSIG 过期引起 SERVFAIL

## 常见问题

### 本工具如何验证根信任锚？

工具内置符合 IANA 标准的根信任锚（KSK-2017 tag 20326 与 KSK-2024 tag 38696），拉取根 DNSKEY 后逐一重算 SHA-256 摘要比对。

### 工具是否在本地进行 RSA/ECDSA 逐记录验签？

工具本地专注验证 DS 与 DNSKEY 摘要映射及 RRSIG 时间窗口，单条 RRset 的完整密码学签名状态由上游 DoH 解析器的 AD 标志反馈。

### 为什么 DS 记录摘要匹配非常关键？

DS 记录是父域链接子域 DNSKEY 的密码纽带；若摘要哈希或 Key Tag 不匹配，递归解析器将拒绝解析该域名。

### 为什么有时需要关闭 RDAP 查询？

关闭 RDAP 选项可进入仅 DNSSEC 模式，跳过注册局网络请求，专注于调试 DNS 记录与加密信任链。

### 如何处理 RRSIG 临期或过期提示？

RRSIG 即将过期或已过期通常需要权威 DNS 服务商重新对 Zone 签名，需检查权威 DNS 服务器的自动重签任务或密钥同步机制。

## 相关工具

- [Webhook 调试与中继工具](https://elysiatools.com/zh/tools/webhook-debugger-relay): 生成唯一的 Webhook 接收地址，查看请求详情、校验签名，并把捕获的请求回放到目标端点
- [HTTP Link Header RFC 8288 解析器与分页爬虫预览](https://elysiatools.com/zh/tools/http-link-header-rfc8288-parser-and-pagination-crawler-preview): 按 RFC 8288 附录 B 算法解析 Link 响应头，相对 URL 按 RFC 3986 解析为绝对地址，rel 对照 IANA 注册表分类，校验 preload/prefetch 提示，并模拟 rel="next" 分页爬虫的逐页行走（含环检测）。
- [MAC OUI 厂商查询器](https://elysiatools.com/zh/tools/mac-oui-vendor-lookup): 从内置的 IEEE OUI 数据库查询 MAC 地址的厂商，或反向按公司名列出其全部 OUI 段，完全离线运行
- [NB-IoT / LTE-M / Cat-M1 CoAP LwM2M 蜂窝物联网分包分析器](https://elysiatools.com/zh/tools/nb-iot-lte-m-cat-m1-coap-lwm2m-cellular-iot-packet-analyzer): 逐字节解析蜂窝 IoT 设备的十六进制抓包:CoAP 头与选项(块传输/Observe)、LwM2M TLV 对象树(带标准资源名)、SMS-DELIVER UDH 应用端口寻址(自动解开 CoAP-over-SMS)、注册 link-format 与 DTLS 记录层说明。
- [Wi‑Fi 信道重叠规划器](https://elysiatools.com/zh/tools/wifi-channel-overlap-planner): 根据 AP 信道、带宽和 RSSI 规划 2.4、5、6 GHz Wi‑Fi 信道，并提示重叠、DFS 和 PSC 风险。
- [AI 域名创意生成器](https://elysiatools.com/zh/tools/ai-domain-name-idea-generator): 输入品牌关键词,让 AI 生成最多 10 个创意域名,自动用 DNS 粗筛 + RDAP 复验可用性,过滤掉已注册的。面向创业者、独立开发者、品牌策划。
- [APNG IDAT/fdAT 分块流式 deflate 回放与 dispose 方法帧时序分析器](https://elysiatools.com/zh/tools/apng-idat-fdat-chunk-streaming-deflate-replay-and-disposal-method-analyzer): 上传 PNG/APNG，解析动画结构：PNG 签名与逐块 CRC32 校验、IHDR（位深/颜色类型/隔行）、acTL（帧数与播放次数，必须位于首个 IDAT 之前）、fcTL（序号、区域约束 x+y+w+h ≤ 画布、delay_num/delay_den 归一化、dispose_op none/background/previous、blend_op source/over）、IDAT 首帧 + fdAT 后续帧；共享的 fcTL+fdAT 序号必须从 0 连续递增；逐帧回放 deflate 流并核对解压尺寸 = 高 × (1 + 每行字节数)，报告 zlib 损坏；dispose 语义模拟提示首帧 previous 视作 background、零延迟帧等。
- [主张-证据-引用映射器](https://elysiatools.com/zh/tools/claim-evidence-citation-mapper): 从文本提取事实性主张，关联脚注/链接/参考文献，标记无来源、弱来源、重复引用和引用范围不清的主张

## 示例

- [零信任架构示例](https://elysiatools.com/zh/samples/zero-trust-samples): 全面的零信任架构示例，包含身份验证、网络分段、微隔离策略和安全访问控制
- [Web Python 图像处理示例](https://elysiatools.com/zh/samples/web-image-processing-python): Web Python 图像处理示例，使用 PIL/Pillow 包括读取、保存、缩放和格式转换
- [Android Java 图像处理示例](https://elysiatools.com/zh/samples/android-image-processing-java): Android Java 图像处理示例，包括图像读取保存、缩放和格式转换
- [Android Kotlin 图像处理示例](https://elysiatools.com/zh/samples/android-image-processing-kotlin): Android Kotlin 图像处理示例，包括图像读取保存、缩放和格式转换