Tak tohle je řízená výměna. Co kdyby ale byl ten starý klíč kompromitován? Jak se důvěryhodně rozšíří nový root key, když nebude moct být podepsán tím starým?
To se, podobně jako u certifikačních autorit, řeší tak, že máte ty klíče dva: Key-Signing Key a Zone-Signing Key. Pokud vám někdo klíč ukradne, velmi pravděpodobně to bude ZSK, který musí být na strojích podepisujících zóny online. Tím ale nejde podepsat výměna klíče. KSK je naproti tomu někde ukrytý a používá se jen offline k podpisu ZSK a nového KSK.
