Uma empresa habilitou o DNS Security Extensions (DNSSEC) para um subdomínio que está hospedado no Amazon Route 53. A assinatura DNSSEC está habilitada e uma key-signing key (KSK) foi criada. Os testes mostram uma cadeia de confiança quebrada. Como o engenheiro de segurança deve resolver esse problema?

A cadeia de confiança do DNSSEC é estabelecida por meio de registros DS (Delegation Signer) na zona pai que apontam para a KSK (Key-Signing Key) da zona filha. Se a cadeia de confiança está quebrada, significa que a zona pai não tem o registro DS correto ou ele está desatualizado, impedindo a validação da KSK da zona filha. A criação de um registro DS na zona hospedada pai é a solução correta porque é a zona pai que deve delegar a autoridade de segurança para a zona filha, publicando o hash da KSK da zona filha. Substituir a KSK por uma ZSK não resolveria, pois a ZSK assina registros, não estabelece a cadeia de confiança. Desativar e reativar a KSK não corrigiria a ausência do registro DS na zona pai. Criar um registro DS na zona do subdomínio seria redundante e não resolveria a quebra na delegação da zona pai.