RRSIG DNSSEC: большой TTL не продлевает срок подписи
Фотография конкретного исполнения не приложена.
Ответ может оставаться в пределах обычного cache TTL и перестать быть пригодным для validation из-за времени подписи. Эти ограничения нужно контролировать отдельно. Увеличение TTL не исправляет истёкший RRSIG.
RFC 4034 задаёт signature inception и expiration, а RFC 4035 использует их при проверке RRset. Для результата важны часы validator. Даже криптографически подходящая подпись не является бессрочной, а полученный TTL не отменяет временное окно её действительности.
Signer должен обновлять подписи заранее по своей процедуре. Ошибка scheduler или распространения zone способна оставить актуальные данные с просроченным подтверждением. Неверные часы resolver также требуют отличать от действительно истёкших signatures на authoritative server.
В приёмке сопоставляют время подписи, часы проверки и распространение обновлённой зоны. Сохраняют исходные timestamps без подмены их временем отчёта. Итог должен показывать запас до expiration. Один свежий ответ с большим TTL не подтверждает, что DNSSEC останется работоспособным до конца этого TTL без следующего обновления signatures.
Основание — Numbered DNSSEC chain, denial, key lifecycle and zone-integrity references with selected explicit updates, разделы RFC4034 RRSIG Signature Inception and Expiration; RFC4035 5.3 Authenticating an RRset with an RRSIG. Сохранён текст публичной справочной публикации; конкретная реализация может поддерживать только часть возможностей. Основание — указанные номерные RFC DNSSEC и целостности DNS-зон. Это разбор механизмов, а не полный актуальный профиль algorithms. Реальные signer, resolver, trust anchors, parent policy и ключи не проверялись; DNS-запросы, публикация zones и изменения делегации не выполнялись.
