DNSSEC 算法滚动升级是一个复杂的过程，需要仔细规划和执行。RIPE NCC 作为 DNSSEC 的早期采用者，已经积累了丰富的经验。在 2009 年，RFC 5702 标准化了 SHA2 的使用，RIPE NCC 开始考虑升级其算法。由于 SHA1 已经不再被认为是安全的，RIPE NCC 决定升级到更强大的算法。
正常滚动升级
在 DNSSEC 中，滚动密钥而保留相同的算法是一个相对简单的过程。这种过程已经被广泛分析、记录和执行，许多 DNSSEC 签名软件都支持自动滚动升级。RIPE NCC 使用 Secure64 的 DNSSEC 签名软件，该软件几乎可以自动完成所有滚动升级的方面。其他软件，如 OpenDNSSEC 和 BIND，也支持自动滚动升级。通常，区域都是使用独立的密钥签名密钥（KSK）和区域签名密钥（ZSK）设置的，这样签名软件就可以使用预发布方法自动滚动 ZSK。
算法滚动升级的挑战
算法滚动升级是一个更复杂的过程，因为一些 DNSSEC 验证器可能不支持新的算法。RIPE NCC 的经验表明，需要仔细规划和准备来确保算法滚动升级的成功。需要考虑的因素包括选择新的算法、更新签名软件和验证器，以及确保所有相关方都支持新的算法。RIPE NCC 的目标是分享其经验，以帮助其他组织进行算法滚动升级。
规划和准备
RIPE NCC 的经验表明，规划和准备是算法滚动升级的关键。需要考虑的因素包括选择新的算法、更新签名软件和验证器，以及确保所有相关方都支持新的算法。RIPE NCC 使用 Secure64 的 DNSSEC 签名软件，该软件提供了自动滚动升级的功能。然而，RIPE NCC 仍然需要进行仔细的规划和准备，以确保算法滚动升级的成功。
对运维和网络工程师来说，DNSSEC 算法滚动升级是一个重要的主题。随着网络安全的不断提高，算法滚动升级成为一种必要的措施。RIPE NCC 的经验表明，需要仔细规划和准备来确保算法滚动升级的成功。通过分享其经验，RIPE NCC 希望能够帮助其他组织进行算法滚动升级，提高网络安全性。
原文: APNIC Blog（2015-11-10）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog