Lezioni del modulo (2/3)
Trust anchor e rollover automatizzato
Trust anchor e rollover automatizzato
Il rollover non consiste nel cambiare una chiave e sperare che Internet si aggiorni. Resolver e parent possono avere dati in cache per tempi diversi. Il trust anchor della root può essere gestito con meccanismi automatici; a livello di delega, CDS e CDNSKEY consentono al child di pubblicare informazioni utili all’aggiornamento del DS, secondo policy del parent.
Come funziona
Automazione riduce interventi manuali ma non elimina la necessità di controlli, autorizzazioni e rollback. Verifica algoritmo, digest, corrispondenza DS/DNSKEY, stato delle firme e finestre di cache prima e dopo il cambio.
Esempio svolto
Una procedura sicura definisce: precondizioni; pubblicazione della nuova chiave; attesa di propagazione; aggiornamento del parent; verifica da resolver indipendenti; rimozione della vecchia chiave solo quando la transizione è completata.
Attenzione
Le procedure e le opzioni dipendono dal registrar e dal software DNSSEC. Non copiare una sequenza di comandi senza adattarla alla propria delega e al modello di chiavi.
Fonti per approfondire
RFC 5011 — gestione automatica dei trust anchor · RFC 7344 — CDS/CDNSKEY · RFC 8078 — aggiornamento DS
Verifica
Scegli la risposta migliore. Gli esempi usano nomi e indirizzi didattici e non inviano query DNS reali.
Che cosa deve restare vero durante un rollover?