Как инструмент проверяет цепочку DNSSEC?

Он спускается от корневых якорей доверия IANA к TLD и апексу, пересчитывая дайджесты DS из записей DNSKEY на каждом этапе.

Какие DoH-резолверы поддерживаются?

Доступны автоматический выбор с переключением при сбоях, а также AliDNS, Cloudflare 1.1.1.1 и Google Public DNS.

Можно ли проверить только DNSSEC без запросов RDAP?

Да, для этого достаточно снять флажок «Включить данные RDAP реестра» перед запуском аудита.

Как выявляется истечение срока RRSIG?

Инструмент анализирует временные метки в записях RRSIG с помощью серийной арифметики над 32-битными полями.

Что означает статус цепочки SECURE?

Это означает, что все дайджесты DS совпадают с DNSKEY, делегирование подписано и подписи RRSIG валидны.

Elysia Tools

Навигация

Network

Аудитор цепочки DNSSEC и доверия RDAP

Полный аудит домена: реферал IANA RDAP bootstrap, данные WHOIS реестра/регистратора и цепочка доверия DNSSEC от корневого KSK через DS зоны TLD до DNSKEY апекса — с проверкой дайджестов DS и отметками об истечении RRSIG.

Детали

С чем помогает этот инструмент

Аудитор проходит полную цепочку доверия домена за девять шагов pass/fail. Начинается с реестра IANA RDAP bootstrap (data.iana.org/rdap/dns.json) для обнаружения авторитетного сервера реестра TLD, затем запрашивает реестр по RDAP — сущность регистратора, события создания/истечения, коды статусов EPP, nameservers и secureDNS-представление реестра. Параллельно сторона DNSSEC резолвит через DNS-over-HTTPS (AliDNS с переключением на Cloudflare/Google, на выбор): получает корневой набор DNSKEY и сверяет SHA-256 DS-дайджесты встроенных корневых якорей доверия (KSK-2017 tag 20326 и KSK-2024 tag 38696, согласуется с опубликованным IANA root-anchors.xml), затем спускается вниз — DS, публикуемый корнем для TLD, пересчитывается из RDATA DNSKEY зоны TLD, а DS, публикуемый TLD для домена, — из RDATA DNSKEY апекса, байт в байт. Несовпадения, истёкшие или почти истёкшие подписи RRSIG (серийная арифметика над 32-битными полями времени), неподписанные делегации и отсутствующие DS помечаются с точными key tag, алгоритмами и вычисленными дайджестами. Охват: совпадение дайджестов DS↔DNSKEY — криптографический клей цепочки делегирования; полная проверка подписей RRSIG каждого RRset отражается через флаг AD резолвера и проверки сроков, а не локальной RSA/ECDSA-верификацией.

Запуск

Запустить этот инструмент

Заполните форму, запустите инструмент и посмотрите результат на этой же странице.

Примеры

Примеры для этого инструмента

Связано

Аудитор цепочки DNSSEC и доверия RDAP

С чем помогает этот инструмент

Запустить этот инструмент

Примеры для этого инструмента

Продолжить с похожими инструментами и темами

Узнайте, когда использовать этот инструмент, что он поддерживает и как его применяют пользователи.

Ключевые факты

Обзор

Когда использовать

Как это работает

Сценарии использования

Примеры

1. Полная валидация подписанного домена

2. Быстрая криптографическая проверка DNSSEC

FAQ

Примеры Архитектуры Нулевого Доверия

Примеры Обработки Изображений Web Python

Примеры Обработки Изображений Android Java

Примеры Обработки Изображений Android Kotlin

Отладчик и relay webhook

Разбор HTTP Link-заголовка RFC 8288 с предпросмотром обхода пагинации

Поиск производителя по OUI MAC

Анализатор пакетов сотового IoT NB-IoT / LTE-M: CoAP и LwM2M