Interactive
DNSSEC検証チェーン可視化
DNSSECは、DNSの応答が改ざんされていないことを暗号署名で保証する仕組みです（暗号化はしません）。 検証リゾルバ・ルート・.com・example.comの4者間で、DS→DNSKEY→RRSIGの鎖をルートのトラストアンカーから1段ずつ検証する様子をステップ再生できます。 正常に検証が通るSecure、 署名不一致で応答が破棄されるBogus、 最初から未署名で検証対象外と正しく判定されるInsecure—— DNSSECの検証結果が持つ3つの状態を、それぞれ体感できます。
ルート→.com→example.comと、DS・DNSKEY・RRSIGの鎖を1段ずつ検証してAD=1にたどり着く
前提問い合わせ応答検証判定
1 / 19
問い合わせ検証リゾルバ → ルート（.）
1. 問い合わせ：DNSKEY .
DNSKEY .DNSKEY . をこのゾーンの権威サーバーに問い合わせる。
ここが分かる
- 各ゾーンで検証の型は同じ——親が署名した DS が子のKSKのハッシュと一致するか確認し、KSKで鍵束（DNSKEY RRset）の自己署名を検証し、ZSKで実データを検証する。この3段セットをルートから目的のドメインまで繰り返すだけ。
- 攻撃者が応答を差し替えても、正しい秘密鍵（ZSK）を持っていない限り新しい正しい署名は作れない——だから改ざんは必ずRRSIGの検証で弾かれる（Bogus検証系シナリオ）。
- 「DSが無い」という否定の応答にもNSEC/NSEC3で署名がつく——これが無いと、攻撃者はDSを消すだけでDNSSEC自体を無効化できてしまう（ダウングレード攻撃）。だからInsecureは安全に判定できる。
- 検証結果は3状態：Secure（AD=1）・Bogus（SERVFAILで遮断）・Insecure（AD=0だがエラーではない）。「署名が無い」と「署名が壊れている」は明確に区別される。