5. Scope of the DNSSEC Document Set and Last Hop Issues (DNSSEC 文書セットの範囲とラストホップの問題)

本文書セットの仕様は, 検証エンティティがデータの状態を明確に判断できるように, ゾーン署名者 (zone signers), セキュリティ認識ネームサーバおよびリゾルバの動作を定義します。

検証リゾルバは以下の4つの状態を判断できます:

Secure (安全): 検証リゾルバはトラストアンカーを持ち, 信頼のチェーンを持ち, 応答内のすべての署名を検証できます。

Insecure (非安全): 検証リゾルバはトラストアンカー, 信頼のチェーンを持ち, 一部の委任ポイントで DS レコードの非存在の署名された証明を持ちます。これは, ツリー内の後続のブランチが証明可能に非安全であることを示します。検証リゾルバは, ドメイン空間の一部を非安全としてマークするローカルポリシーを持つ場合があります。

Bogus (偽造): 検証リゾルバはトラストアンカーと, 補助データが署名されていることを示す安全な委任を持ちますが, 何らかの理由で応答の検証に失敗します: 署名の欠如, 期限切れの署名, サポートされていないアルゴリズムを持つ署名, 関連する NSEC RR が存在すべきであると述べているデータの欠如などです。

Indeterminate (不確定): ツリーの特定の部分が安全であることを示すトラストアンカーがありません。これはデフォルトの動作モードです。

本仕様は, セキュリティ認識ネームサーバが非検証スタブリゾルバにデータが偽造であることが判明したことを通知する方法のみを定義します (RCODE=2, "Server Failure" を使用, [RFC4035] を参照)。

セキュリティ認識ネームサーバがセキュリティ認識スタブリゾルバにデータが安全であることが判明したことを通知するメカニズムがあります (AD ビットを使用, [RFC4035] を参照)。

本仕様は, 応答が偽造であることが判明した理由または非安全としてマークされた理由を伝達するフォーマットを定義していません。現在の通知メカニズムは不確定状態と非安全状態を区別しません。

セキュリティ認識スタブリゾルバとセキュリティ認識再帰ネームサーバの間で高度なエラーコードとポリシーを通知する方法は将来の作業の主題であり, セキュリティ認識リゾルバとそれを使用するアプリケーション間のインターフェースも同様です。ただし, このような通信の仕様が欠如していても, 署名されたゾーンの展開や, 偽造データのアプリケーションへの伝播を禁止するセキュリティ認識再帰ネームサーバの展開を妨げるものではないことに注意してください。