6.2 公私密鑰對的生成

6.2 公私密鑰對的生成

DNSSEC采用非對稱密鑰進行數字簽名的生成和驗證。

對密鑰集（DNSKEY RRSet）簽名采用密鑰簽名密鑰（KSK）,對資源記錄集簽名采用區簽名密鑰（ZSK）。

生成KSK和ZSK密鑰對的參數如下：

a）密鑰算法：符合YD/T 2140-2010的要求，符合我國密碼管理的相關規定。

b）密鑰長度：考慮密鑰安全性與執行效率，對KSK加強密鑰安全性，對ZSK加強執行效率，同時符合YD/T 2140-2010的要求。

c）有效期：設置密鑰更新的周期，符合YD/T 2140-2010的要求。