]> git.ipfire.org Git - thirdparty/bind9.git/commit
Count temporal problems with DNSSEC validation as attempts
authorOndřej Surý <ondrej@isc.org>
Mon, 23 Feb 2026 18:42:49 +0000 (19:42 +0100)
committerOndřej Surý <ondrej@sury.org>
Mon, 30 Mar 2026 11:07:15 +0000 (13:07 +0200)
commitbd3c7d8014877a7a57fe1fb300be6d2df12111a2
treebcc2973e5871e69d2e017fb13958e09e254dc554
parent545ce3ae224dc6a15c6619329a4d65fa95f9e737
Count temporal problems with DNSSEC validation as attempts

After KeyTrap, the temporal DNSSEC were originally hard errors that
caused validation failures even if the records had another valid
signature.  This has been changed and the RRSIGs outside of the
inception and expiration time are not counted as hard errors.  However,
these errors are not even counted as validation attempts, so excessive
number of expired RRSIGs would cause some non-cryptograhic extra work
for the validator.  This has been fixed and the temporal errors are
correctly counted as validation attempts.

(cherry picked from commit 6ba57a1f0f871e32b85c4f38b53b3ac4e198754b)
lib/dns/validator.c