Zone Walking y NSEC3 (RFC 5155)

Problema de NSEC: cualquiera puede enumerar la zona consultando huecos consecutivos (zone walking). Soluciones: NSEC3 (hashes en lugar de nombres) y «white lies» (Cloudflare).

NSEC: zona enumerableCon herramientas como ldns-walk se recorre toda la zona en minutos. Inaceptable para TLDs y empresas con nombres internos.

NSEC3 (RFC 5155)Cadena sobre hashes (SHA-1 + salt + iteraciones) de los nombres. El atacante sólo ve hashes; debe romperlos por fuerza bruta. Bandera opt-out ahorra firmas en zonas grandes (TLD). Sigue siendo enumerable offline si se obtienen los hashes.

NSEC3 white lies / black liesEl servidor firma on-the-fly un NSEC mínimo que cubre exactamente el nombre consultado (Cloudflare 2015, RFC 4470/4471). No revela vecinos. Requiere claves online.

Recomendación operativa (RFC 9276, 2022): usar iterations=0 y salt vacío en NSEC3. Iteraciones altas no añaden seguridad real y multiplican el costo CPU del resolver — vector de DoS.