Zone-Signing Keys

Signierung

• Jede Zone in DNSSEC verfügt über ein Zone-Signing Key-Paar (ZSK)
• Der private Teil des Schlüssels führt eine digitale Signatur für jedes RRset in der Zone durch.
• Der öffentliche Teil verifiziert die Signatur.

[Bearbeiten]

Übertragung

• Der Zonenbetreiber muss auch seinen öffentlichen ZSK verfügbar machen, indem er ihn in einem DNSKEY-Eintrag zu seinem Nameserver hinzufügt.
• Wenn nun ein Resolver einen Record-Typen angfragt, übergibt der Nameserver auch den öffentlichen Schlüssel des ZSK.
• Gleichartige Records werden gemeinsam signiert.

[Bearbeiten]

Verifizierung

• Wenn nun die Prüfsumme gleich dem RRSet ist, ist der RRSet authentisch.

[Bearbeiten]