Lektionen des Moduls (2/3)
Trust Anchor und automatisierter Schlüsselwechsel
Trust Anchor und automatisierter Schlüsselwechsel
Ein Schlüsselwechsel heißt nicht: Schlüssel ändern und hoffen, dass sich das Internet aktualisiert. Resolver und Parent-Zonen cachen Daten unterschiedlich lange. Der Root-Trust-Anchor kann automatisiert verwaltet werden. Bei Delegationen können CDS und CDNSKEY dem Child ermöglichen, Daten zur Aktualisierung des Parent-DS zu veröffentlichen – abhängig von der Richtlinie des Parent.
Automatisierung senkt manuellen Aufwand, ersetzt aber keine Prüfungen, Berechtigungen und Rückfallplanung. Prüfe Algorithmus, Digest, DS/DNSKEY-Zuordnung, Signaturstatus und Cache-Zeiten vor und nach der Änderung.
Ein sicheres Verfahren legt Voraussetzungen fest, veröffentlicht den neuen Schlüssel, wartet die Verteilung ab, aktualisiert den Parent, prüft mit unabhängigen Resolvern und entfernt den alten Schlüssel erst nach abgeschlossener Umstellung. Übernimm keine Befehlsfolge, ohne sie an Registrar und DNS-Software anzupassen.
Quellen: RFC 5011 — automatisierte Trust-Anchor-Verwaltung · RFC 7344 — CDS/CDNSKEY · RFC 8078 — DS-Aktualisierung
Verständnis prüfen
Wähle die beste Antwort. Die Beispiele verwenden Trainingsnamen und senden keine echten DNS-Anfragen.
Was muss während eines Schlüsselwechsels erhalten bleiben?