Het beveiligingsteam heeft DNS Security Extensions (DNSSEC) ingeschakeld voor het domein van het bedrijf in Amazon Route 53 en vraagt wie verantwoordelijk is voor het rouleren van de DNSSEC-sleutels. Welke uitleg moet de netwerkengineer geven?

Bij DNSSEC in Route 53 is de verantwoordelijkheid voor sleutelrotatie verdeeld. AWS roteert automatisch de Zone-Signing Key (ZSK). Dit is een operationele sleutel die wordt gebruikt om de resource records in de zone te ondertekenen. De klant (het bedrijf) is verantwoordelijk voor het roteren van de Key-Signing Key (KSK). De KSK is een sterkere, langdurigere sleutel die de ZSK ondertekent en waarvan de publieke sleutel wordt gepubliceerd in de bovenliggende zone (via een DS-record). Deze scheiding van verantwoordelijkheden zorgt voor een balans tussen operationeel gemak (ZSK door AWS) en klantcontrole over de meest kritieke beveiligingssleutel (KSK door de klant). Het bedrijf roteert niet beide sleutels, noch roteert AWS de KSK of een AWS KMS-sleutel in deze context.