
<html dir="ltr">

<head>

<meta http-equiv="Content-Type" content="text/html; charset=iso-8859-1">

<style id="owaParaStyle" type="text/css">P {margin-top:0;margin-bottom:0;}</style>

</head>

<body ocsi="0" fpstyle="1">

<div style="direction: ltr; font-family: Tahoma; color: rgb(0, 0, 0); font-size: 13px;">

<div style="">We had a discussion on the phone conference about ZSK rollovers and why the signatures are all recreated...<br>

<br>

Rickard has just pointed out to me that the timing draft includes a term Dsgn in the ZSK retire time.<br>

<br>

What this does is add in the time that a signature can be expected to hang around in a zone for. I think that this is:<br>

<br>

(validity - refresh) + resign<br>

<br>

(I.e. assume the signature is created just before a key expires, then add up the length of time that the signature will be left alone plus the resign interval which is just the granularity of the system.)<br>

<br>

So if I add this to the length of time that the key is published in the zone after it retires we can have the gradual switch between keys which will look like:<br>

<br>

Sign with the old key until it retires, then use the _new_ key to replace signatures as they reach the end of their lives. The old key will be published for longer, until all signatures generated with it have been replaced.<br>

<br>

This way we do not need to communicate any more information to the signer.<br>

<br>

Does this work?<br>

<br>

Sion<br>

</div>

</div>

</body>

</html>