<div dir="ltr"><div>Hello,</div><div><br></div><div>Thank you for your observations Viktor.</div><div>.ee is in the proccess of rolling the ancient zsk and new key is already signing the records and old zsk will be removed from the zone in coming month.</div><div><br></div><div>Georg<br></div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Mon, 21 Jan 2019 at 00:13, Viktor Dukhovni <<a href="mailto:ietf-dane@dukhovni.org">ietf-dane@dukhovni.org</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">Some TLDs have RSA ZSKs and KSKs that have gone unchanged since I<br>
first started capturing (hoarding) DNSKEY data on 2017-10-19.<br>
<br>
The total number of not yet seen to have rolled ZSKs is 798.<br>
The total number of not yet seen to have rolled KSKs is 1178.<br>
<br>
The attached tables, one for ZSKs and a second for KSKs, show for<br>
each TLD, the first observed date of the oldest extant key of each<br>
RSA bit length.  Sorted oldest to newest, then by RSA bit size, and<br>
finally by TLD name.<br>
<br>
It would be great if the operators of TLDs with 1024-bit ZSKs that<br>
are unchanged since 2017-10-19 or earlier would consider rolling<br>
over to new keys, and perhaps also switch to 1280-bit RSA keys, or<br>
ECDSA P-256 (algorithm 13).  The TLDs in question are:<br>
<br>
    aaa able accountant americanexpress amex analytics athleta<br>
    audible author aws ax az baby banamex bananarepublic baseball<br>
    best bg bible bid book booking bot buzz bw by ca call capetown<br>
    cartier cbn ceo chase chintai circle cisco citadel citi coupon<br>
    cricket date deal dealer dell deloitte discover download duns<br>
    dupont durban earth ee faith farmers fast ferrero fi fire flickr<br>
    fo ford fox free frl ftr gap gent got gr grainger gucci health<br>
    homegoods homesense honeywell hot hotels hr hsbc hyatt ieee<br>
    imdb intel intuit jmp jnj joburg jot joy jpmorgan kinder kindle<br>
    kiwi kpmg kpn kred like lilly lincoln lk loan marshalls mint<br>
    mlb mm moe moi mtr mutual na nfl now nyc office oldnavy open<br>
    osaka party pay pharmacy piaget pin ping praxi prime qpon qvc<br>
    racing read review rocher room safe safety samsung sas save<br>
    science secure sfr silk skype smile song spot statefarm stream<br>
    swiftcover sx taipei talk tdk tel teva tjmaxx tjx tkmaxx trade<br>
    tube tunes tushu uk uno vivo vu vuelos wanggou watches weather<br>
    weatherchannel webcam whoswho wien win winners wow ws xn--1ck2e1b<br>
    xn--1qqw23a xn--55qx5d xn--bck1b9a5dre4c xn--cck2b3b xn--cg4bki<br>
    xn--eckvdtc9d xn--fct429k xn--g2xx48c xn--gckr3f0f xn--gk3at1e<br>
    xn--io0a7i xn--jvr189m xn--kpu716f xn--l1acc xn--pbt977c<br>
    xn--rovu88b xn--wgbh1c yahoo yamaxun yandex you za zappos zero<br>
    zippo<br>
<br>
One might also consider now and then rotating even 1280-bit or<br>
better RSA keys. :-)<br>
<br>
Of special interest are perhaps the 19 ccTLDs with aged extant<br>
1024-bit keys:<br>
<br>
    ax az bg bw by ca ee fi fo gr hr lk mm na sx uk vu ws za<br>
<br>
The KSK story looks much better.  The sole 1024-bit key was rotated<br>
just this month.  Of the KSKs not yet observed to have been rotated,<br>
only 5 are 1280-bit keys, the rest are 2048-bits or even in 12 cases<br>
4096-bits (perhaps too big to be operationally sound).<br>
<br>
It is less clear that keeping 2048-bit keys around for more than a<br>
year is problematic, 2048-bit Web PKI certificates are not infrequently<br>
issued for 2 or 3 years, and the root CAs last a decade or two.  So<br>
KSK rotation for 2048-bit keys is perhaps more a matter of maintaining<br>
operational discipline (having working procedures that are exercised<br>
regularly) than a security imperative.<br>
<br>
-- <br>
        Viktor.<br>
_______________________________________________<br>
dns-operations mailing list<br>
<a href="mailto:dns-operations@lists.dns-oarc.net" target="_blank">dns-operations@lists.dns-oarc.net</a><br>
<a href="https://lists.dns-oarc.net/mailman/listinfo/dns-operations" rel="noreferrer" target="_blank">https://lists.dns-oarc.net/mailman/listinfo/dns-operations</a><br>
dns-operations mailing list<br>
<a href="https://lists.dns-oarc.net/mailman/listinfo/dns-operations" rel="noreferrer" target="_blank">https://lists.dns-oarc.net/mailman/listinfo/dns-operations</a><br>
</blockquote></div>