KSK, ZSK und Schlüsselwechsel

Manche Betriebsmodelle unterscheiden einen Key-Signing-Key (KSK), der DNSKEY-Daten signiert, und einen Zone-Signing-Key (ZSK), der andere RRsets signiert. Implementierungen unterscheiden sich; prüfe die verwendete Konfiguration, statt ein einheitliches Modell anzunehmen.

Ein Schlüsselwechsel ist eine verteilte Übergangsphase. Resolver und Parent-Zonen können Daten unterschiedlich lange cachen. Ein sicheres Muster veröffentlicht und prüft den neuen Schlüssel, hält alten und neuen während der nötigen Überlappung bereit, aktualisiert bei Bedarf den DS im Parent und entfernt den alten Schlüssel erst nach abgeschlossener Umstellung.

Plane Ablauf, Voraussetzungen, Beobachtungspunkte und Rückfall vor der Änderung. Gib niemals private Schlüssel preis, um den Wechsel zu vereinfachen.

Verständnis prüfen

Wähle die beste Antwort. Dieses Quiz läuft lokal und sendet keine echten DNS-Anfragen.

Quiz#dns.m8.l2.e1

Warum werden alter und neuer Schlüssel beim Wechsel oft gemeinsam veröffentlicht?

Weil DNS keine DNSKEY unterstütztDamit Übergang und verteilte Caches zusammenpassenUm den privaten Schlüssel öffentlich zu machen