NSEC3
siglaredessegurança
Significa: Next Secure version 3 (record)
Uma versão com hash do NSEC que oculta o conteúdo de uma zona.
Próximo Seguro versão 3 (do inglês Next Secure version 3, RFC 5155) fornece a mesma negação autenticada que o NSEC, mas sobre nomes com hash, para que um atacante não consiga percorrer a cadeia e enumerar todos os nomes da zona.
O NSEC3 faz o que o NSEC faz, provar inexistência, porém sobre nomes com hash, de modo que seguir a cadeia entrega hashes, e não os nomes. Foi introduzido para impedir a enumeração trivial de zona.
A proteção é real e mais fraca do que parece. O hash de um nome está sujeito a adivinhação off-line, e existe ferramental para recuperar boa fração dos nomes de uma zona típica a partir de uma cadeia NSEC3 coletada, especialmente onde os nomes são curtos ou previsíveis. O modo opt-out reduz a sobrecarga de assinatura para zonas grandes e cheias de delegações ao custo de deixar delegações não assinadas sem prova. O resumo honesto é que o NSEC3 eleva o custo da enumeração, e não a impede.
Também conhecido como: nsec3