Durant le déménagement de l'un de des serveurs informatiques, j'ai utilisé l'outil Zonemaster de l'AFNIC et de son équivalent suédois afin de vérifier le bon fonctionnement de mes serveurs DNS qui font autorité.

Zonemaster m'a informé qu'une clé RSA de 1024 bits est considérée comme trop faible de nos jours : « La clé (DNSKEY) avec le tag XXXXX utilisant l'algorithme 8 (RSA/SHA-256) a une taille (1024) plus petite que la taille recommandée (2048) pour cet algorithme. ».

J'ai décidé de passer à 3072 bits pour ma KSK et à 2048 bits pour ma ZSK. 3072 bits sert à rien puisque info. utilise des ZSK RSA de 1024 bits et que la racine utilise des clés RSA de 2048 bits. La sécurité globale est celle du maillon le plus faible. Néanmoins, une taille différente me permet de distinguer très rapidement mes KSK de mes ZSK.

Avec OpenDNSSEC, la taille des clés (et l'algorithme à utiliser, il n'y a pas que RSA, fr. utilise les courbes elliptiques, par ex.) est configurée dans la politique appliquée à une zone. Par défaut, son stockage se fait dans /etc/opendnssec/kasp.xml.

Il suffit de modifier la valeur de l'attribut XML « length » des balises « Algorithm » dans l'arborescence « Keys ».

Ensuite, il faut demander à OpenDNSSEC de relire la politique et de l'appliquer (le redémarrer ne sert à rien, la politique actuelle est sauvegardée et lue dans /var/lib/opendnssec/) : ods-enforcer policy import.

Il n'y a pas besoin de forcer à la mano le roulement / renouvellement / rollover des clés. Normalement, OpenDNSSEC va s'occuper de tout.

Si la soumission de la KSK à la zone parente est manuelle, il faudra appliquer la procédure habituelle (ds-seen, ds-gone, etc.).