IANA stellt die DNS-Root-Zone auf den neuen Signierschlüssel KSK-2024 um
in einfachen worten
Das Adressbuch des Internets für Domainnamen nutzt einen besonderen Schlüssel, der belegt, dass seine Antworten echt sind. Am 11. Oktober 2026 wurde dieser Schlüssel durch einen neuen ersetzt. Die meisten Menschen dürften nichts davon bemerken. Einige ältere Computer und Router könnten aber Webseiten oder E-Mails nicht mehr laden.
Ausführliche Zusammenfassung
Die Root-Zone Die oberste Ebene des DNS, die alle TLDs und ihre Nameserver auflistet. Vollständige Definition von Root-Zone wird seit dem 11. Oktober 2026 mit einem neuen Key Signing Key, KSK-2024, signiert. IANA Internet Assigned Numbers Authority Die Funktionen, die die Root-Zone, die IP-Adressen und die Protokollnummern koordinieren. Vollständige Definition von IANA bestätigte den Wechsel noch am selben Tag. Größere Störungen waren öffentlich nicht gemeldet worden. Resolver Der DNS-Server, der Domainnamen im Auftrag der Nutzer auflöst. Vollständige Definition von Resolver können die alte Schlüsselliste bis zu zwei Tage im Cache behalten, daher könnten Probleme in Systemen, die nicht aktualisiert wurden, erst später auftreten.
Der neue Schlüssel trägt das Key Tag 38696 und ersetzt den bisherigen. IANA zufolge sollten die meisten Nutzer nichts bemerken. Resolver, die den neuen Schlüssel nicht kennen, könnten die DNSSEC-Validierung Die Prüfung eines Resolvers, ob eine DNS-Antwort korrekt mit DNSSEC signiert ist. Vollständige Definition von DNSSEC-Validierung nicht bestehen. Die Liste der Root-Schlüssel ist nun von KSK-2024 signiert und ab 00:00 UTC am 11. Oktober gültig. Der ältere KSK-2017 mit Key Tag 20326 bleibt aufgeführt, wird aber nicht mehr signiert. Die öffentlichen Resolver von Google und Cloudflare validierten Antworten erfolgreich, Google lieferte jedoch noch eine zwischengespeicherte Version, die mit KSK-2017 signiert war.
Betreiber auf der Mailingliste dns-operations von DNS-OARC DNS Operations, Analysis, and Research Center Die Organisation, die Betreiber und Forscher des DNS zusammenbringt, bekannt für ihre OARC-Workshops. Vollständige Definition von DNS-OARC hatten bis Dienstagmorgen keine Berichte über den Wechsel veröffentlicht. Vereinzelt traten aber anderswo Probleme auf. Am 12. Oktober meldete ein Administrator im Zimbra-Forum Ausfälle auf Servern mit Ubuntu 22.04 oder älter, die DNSSEC Domain Name System Security Extensions Digitale Signaturen, die belegen, dass DNS-Antworten echt und unverändert sind. Vollständige Definition von DNSSEC validieren. Signierte Domainnamen seien seit Sonntag nicht mehr aufgelöst worden, und E-Mails hingen fest. Ein Nutzer im ASUS-Forum schrieb, die Router-Firmware kenne nur den alten Schlüssel, weshalb die Namensauflösung bei aktivierter Validierung scheiterte.
Der bisher letzte Wechsel des Root-Schlüssels fand am 11. Oktober 2018 statt. Die ICANN Internet Corporation for Assigned Names and Numbers Die gemeinnützige Organisation, die das weltweite DNS und die gTLD-Policy koordiniert. Vollständige Definition von ICANN meldete vier Tage später geringe Störungen und erklärte, schnelle Korrekturen hätten sie behoben. Der alte KSK-2010 wurde 2019 widerrufen. Ein weiterer Wechsel ist geplant und soll auch den Signaturalgorithmus ändern. ICANN hat dies im Februar vorgeschlagen und will es unverändert umsetzen: 2027 soll ein neuer ECDSA-Schlüssel erzeugt werden, der aktuelle RSA-Schlüssel läuft 2029 aus.