J'ai lu une doc de travers (même pas la rfc), mais il me semblait qu'il y avait quelques limites tout de même:
en fait tu n'as qu'une rootca, mais toujours une multitude de ca. De plus il me semble que la norme n'impose pas une séparation obligatoire de la zsk et de la ksk, ce qui implique que l'on aura un certain nombre de clés "exposés" (disons aussi exposé que la clé d'un serveur web). Tu es évidemment moins exposé (un dns n'étant responsable que de sa zone et indirectement de ses zones filles, et pas d'une multitude de sites comme avec ssl).
D'autres craintes que j'avais: les zsk ont une durée de vie très courte (quelques jours il me semble), je me demande si on ne verra pas un de ces 4 un cuak lors des renouvellements de clés.
J'avais aussi constaté dans la doc que j'avais lu que nulle part il n'était mentionné de procédure pour révoquer une clé, si c’est le cas on risque d’avoir des problèmes avec les clés dont l’invalidité n’est pas encore connue.
Bon je me trompe peut être complètement, mais tu m'as trouvé mon sujet d'occupation pour demain: me lire les rfc, et voir si je ne trouve pas 2/3 témoignages de déploiement.
[^] # Re: 1984 et Wikipedia
Posté par Alex . En réponse au journal La mort de Knol est annoncée. Évalué à 2.
J'ai lu une doc de travers (même pas la rfc), mais il me semblait qu'il y avait quelques limites tout de même:
en fait tu n'as qu'une rootca, mais toujours une multitude de ca. De plus il me semble que la norme n'impose pas une séparation obligatoire de la zsk et de la ksk, ce qui implique que l'on aura un certain nombre de clés "exposés" (disons aussi exposé que la clé d'un serveur web). Tu es évidemment moins exposé (un dns n'étant responsable que de sa zone et indirectement de ses zones filles, et pas d'une multitude de sites comme avec ssl).
D'autres craintes que j'avais: les zsk ont une durée de vie très courte (quelques jours il me semble), je me demande si on ne verra pas un de ces 4 un cuak lors des renouvellements de clés.
J'avais aussi constaté dans la doc que j'avais lu que nulle part il n'était mentionné de procédure pour révoquer une clé, si c’est le cas on risque d’avoir des problèmes avec les clés dont l’invalidité n’est pas encore connue.
Bon je me trompe peut être complètement, mais tu m'as trouvé mon sujet d'occupation pour demain: me lire les rfc, et voir si je ne trouve pas 2/3 témoignages de déploiement.