Могу ли я разумно использовать SHA-256 в развертывании DNSSEC?

Я знаю, что RFC 5702 документирует использование SHA-2 в DNSSEC, и что RFC 6944 определяет RSA / SHA-256 как «рекомендуемый для реализации». Что я не знаю, так это то, насколько широко реализован SHA-256 в валидации распознавателей.

Целесообразно ли подписывать Интернет-зоны (те, которые меня особенно интересуют, это .orgдомены) с помощью SHA-256, или я делаю свою зону не поддающейся проверке для больших участков Интернета с поддержкой DNSSEC?

В качестве продолжения, могут ли ключевые расписания меняться с изменением хэша, чтобы сохранить тот же уровень безопасности (например, могу ли я обойти использование SHA-1, имея более короткие расписания ключей)?

Сама корневая зона (aka .) подписана с помощью RSA / SHA256 (KSK, а также ZSK - это RSA / SHA256).

Таким образом, проверяющий распознаватель, который не поддерживает RSA / SHA256, будет в основном бесполезен в Интернете, поскольку он не сможет проверить всю цепочку.

Я думаю, что для вас безопасно предположить, что RSA / SHA256 поддерживается.

http://dnsviz.net/d/org/dnssec/ может предоставить полезную визуализацию используемых ключей вплоть до orgзоны.