Une entreprise a activé les extensions de sécurité DNS (DNSSEC) pour un sous-domaine hébergé dans Amazon Route 53. La signature DNSSEC est activée et une clé de signature de clé (KSK) a été créée. Les tests révèlent une chaîne de confiance rompue. Comment l'ingénieur de sécurité doit-il résoudre ce problème ?

Pour établir une chaîne de confiance DNSSEC, la zone parente doit avoir un enregistrement DS (Delegation Signer) qui pointe vers la KSK (Key Signing Key) de la zone enfant. Sans cet enregistrement DS dans la zone parente, les résolveurs DNS ne peuvent pas valider la signature DNSSEC du sous-domaine, ce qui entraîne une chaîne de confiance rompue. Remplacer la KSK par une ZSK est incorrect car la KSK est spécifiquement conçue pour signer d'autres clés et établir la confiance avec la zone parente, tandis que la ZSK signe les enregistrements de ressources. Désactiver puis réactiver la KSK ne résoudrait pas le problème fondamental de l'absence d'enregistrement DS dans la zone parente. Créer un enregistrement DS dans la zone hébergée du sous-domaine est incorrect car l'enregistrement DS doit être dans la zone parente pour établir la délégation de confiance.