NSEC3 Opt-Out меняет смысл доказательства в области делегаций
NSEC3-запись с подходящим hash interval нельзя читать как безусловное утверждение об отсутствии любого имени внутри него. При Opt-Out предусмотрены особые условия для unsigned delegations. Для диагностики важно знать не только совпавший диапазон, но и режим proof.
RFC 5155 позволяет определённым неподписанным делегациям отсутствовать в NSEC3 chain при Opt-Out. Validation учитывает этот признак и контекст запроса. Механизм предназначен для конкретной модели зоны, а не для произвольного игнорирования пропущенных подписанных данных.
Также hashing имён не является общим обещанием конфиденциальности содержимого зоны. Нельзя считать наблюдаемое hashed-представление аналогом шифрования всех DNS-данных. Выбор параметров NSEC3 требует отдельного актуального профиля, который не выводится только из исторических examples RFC.
В приёмке проверяют signed и unsigned delegations в предусмотренной Opt-Out схеме. Сохраняют proof и итог validator. Отчёт должен показывать границы сделанного вывода. Один покрывающий NSEC3 interval не подтверждает отсутствие всех возможных имён и не заменяет полную проверку отрицательного ответа.
Основание — Numbered DNSSEC chain, denial, key lifecycle and zone-integrity references with selected explicit updates, разделы RFC5155 Opt-Out semantics; insecure delegations; validation. Сохранён текст публичной справочной публикации; конкретная реализация может поддерживать только часть возможностей. Основание — указанные номерные RFC DNSSEC и целостности DNS-зон. Это разбор механизмов, а не полный актуальный профиль algorithms. Реальные signer, resolver, trust anchors, parent policy и ключи не проверялись; DNS-запросы, публикация zones и изменения делегации не выполнялись.
