Appendix A. 不一致导致的故障场景

A.1. DS Breakage due to Replication Lag

如果 authoritative nameserver 在 key rollover 期间滞后, parent 可能因查询的 nameserver 不同而看到不同的 CDS/CDNSKEY RRsets. 这可能导致新旧 DS RRsets 交替部署, 并因过早移除仍被 stale CDS/CDNSKEY RRset 引用的 DNSKEY 而破坏 chain of trust.

A.2. Escalation of Lame Delegation Takeover

如果 delegation 包含不存在的 NS hostname, 第三方可注册该 nameserver domain, 并为委派到它的 domains 运行 authoritative DNS service. 如果没有一致性检查, 攻击者可发布 CDS/CDNSKEY records, 使 delegation 使用攻击者控制的 DNSSEC keys 变为受保护状态, 然后使用 CSYNC 移除其他 nameservers 或更改 glue.

A.3. Multi-Provider (Permanent Multi-Signer)

在 permanent multi-signer setup 中, 某个 provider 可能意外发布只包含自身 keys 的 CDS/CDNSKEY records. 如果 parent 获取这些 records 并移除其他 providers 的 DS records, zone 会对部分查询失效. 类似的 CSYNC 问题可能把 delegation 更新为有缺陷的 NS RRset, 破坏解析或静默降低冗余.

A.4. Bogus Provider Change (Temporary Multi-Signer)

在不变为 insecure 的 provider transfer 期间, domain 会短暂以 multi-signer mode 运行. 如果新 provider 从 DNSKEY 和 CDS/CDNSKEY RRsets 中遗漏旧 provider 的 keys, DNSSEC validation 可能失败. 如果 parent 扫描并使用错误的 CDS/CDNSKEY RRset, 旧 provider 可能被过早从 DNSSEC chain of trust 中移除.