LINUX.ORG.RU
Форум — Admin  

DNSSEC и два ключа KSK ZSK.

 


0

1

А можно пояснить, для чего придумали два ключа, один которым подписывается записи зоны и второй, которым подписывается ключ, которым подписываются записи зоны? Почему отказались от размещения у вешестоящего сервера открытой части ключа ZSK, то есть не использовать KSK? Пока на ум приходит только ситуация, когда ZSK очень часто меняется, и что бы постоянно не беспокоить вышестоящего провайдера обновлением ключей.

★

Последнее исправление: Viper (всего исправлений: 1)
← Как обновить Asterisk и FreePBX установленных с помощью source пакетов?
Samba + Windows 10 →

https://www.cloudflare.com/dns/dnssec/how-dnssec-works/

Note that any change in the KSK also requires a change in the parent zone’s DS record. Changing the DS record is a multi-step process that can end up breaking the zone if it’s performed incorrectly. First, the parent needs to add the new DS record, then they need to wait until the TTL for the original DS record to expire before removing it. This is why it’s much easier to swap out zone-signing keys than key-signing keys.

anonymous_sama ★★★★★
()
Ответ на: комментарий от anonymous_sama

И? По какой причине у меня, как у владельца домена второго уровня, ключи ZSK будут меняться чаще, чем ключи KSK?

Viper ★
() автор топика
Ответ на: комментарий от anonymous_sama

Ну это возможно, учитывая, что ZSK делают более коротким. Но что мешает зоны подписывать KSK и так же продолжать раз в год его менять.

Viper ★
() автор топика
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← Как обновить Asterisk и FreePBX установленных с помощью source пакетов?
Admin
Samba + Windows 10 →