DNSSEC - KSK und ZKS

Ja, aber auch nicht so schlimm bin nun hoffentlich in guten Händen.


Ja, habe ich soweit auch gelesen weshalb wird den nicht einfach der ZKS als Chains of Trust genommen? Irgendwie ist doch das viel komplizierter vom ZKS existiert eine Kopie (KSK) dieser behinhaltet einen Privaten und Öffentlichen Schlüssel (RRSIG + DNSKEY). Vom KSK wird nur ein Haskwert vom KSK in der übergeordneten Zone gespeichert.


Wieso sollte sich ein Zonenkey (DNSKEY) überhaupt ändern? Ich habe mal gemeint ein Zertifikat bleibt immer eine gewisse Zeit (Administrator entscheidet das) gültig?

Was mich auch irritiert ist dieser Schlüsselunterzeichnungsschlüsel. Der KSK ist eine Kopie vom ZKS jedoch aber auch gleichzeitig signiert ein ZKS nur RRSIGs wiederrum besteht ein ZKS aus einem RRSIG und DNSKEY. Also ist ja der KSK doch keine Kopie vom ZKS weil einer den Privaten und einer den Öffentliochen Schlüssel hat. Irgendwie total irritierend das. Betrifft sich diese Kopie nicht auf den Schlüsselunterzeichnungsschlüssel sondern auch die Grundfunktion von DNSSEC?

Irgendwie verstehe ich da nichts mehr. Eventuell noch zur beseren verständlichkeit:

Unter der Funktionsweise vom Wikipedia Eintrag zu DNSSEC. Dort wird erklärt dass ein ZKS aus einem privaten Schlüssel RRSIG und öffentlich Schlüssel DNSKEY besteht. Jedoch unter der Rubrik Schlüsselunterzeichnungsschlüssel wiederrum, dass KSK eine Kopie vom ZKS ist und der KSK nur DNSKEY signiert und ZKS öffentliche Schlüsse. Das ist doch ein wiederspruch. Ein ZKS enthällt doch beide Schlüssel also privat und öffentlich?