DNSSEC и два ключа KSK ZSK.

0

1

А можно пояснить, для чего придумали два ключа, один которым подписывается записи зоны и второй, которым подписывается ключ, которым подписываются записи зоны? Почему отказались от размещения у вешестоящего сервера открытой части ключа ZSK, то есть не использовать KSK? Пока на ум приходит только ситуация, когда ZSK очень часто меняется, и что бы постоянно не беспокоить вышестоящего провайдера обновлением ключей.

Ссылка

← Как обновить Asterisk и FreePBX установленных с помощью source пакетов?

Samba + Windows 10 →

https://www.cloudflare.com/dns/dnssec/how-dnssec-works/
Note that any change in the KSK also requires a change in the parent zone’s DS record. Changing the DS record is a multi-step process that can end up breaking the zone if it’s performed incorrectly. First, the parent needs to add the new DS record, then they need to wait until the TTL for the original DS record to expire before removing it. This is why it’s much easier to swap out zone-signing keys than key-signing keys.

anonymous_sama ★★★★★
(29.10.16 10:49:29 MSK)