La IANA cambia la zona raíz del DNS a una nueva clave de firma KSK-2024
en claro
La agenda de direcciones de internet para los nombres de dominio usa una clave especial para demostrar que sus respuestas son auténticas. El 11 de octubre de 2026, esa clave fue sustituida por una nueva. La mayoría de la gente no lo notará, pero algunos ordenadores y routers antiguos podrían no cargar páginas web o correos.
Resumen completo
La zona raíz El nivel más alto del DNS, que enumera todos los TLD y sus servidores de nombres. Definición completa de zona raíz del DNS sistema de nombres de dominio Directorio de Internet que vincula los nombres de dominio con las direcciones de los ordenadores. Definición completa de DNS empezó a firmarse con una nueva clave de firma de claves, KSK-2024, el 11 de octubre de 2026, y la IANA Autoridad de Números Asignados en Internet Funciones que coordinan la zona raíz, las direcciones IP y los números de protocolos. Definición completa de IANA confirmó el cambio ese mismo día. No se habían informado de interrupciones graves. Los resolutor Servidor DNS que consulta los nombres de dominio en nombre de los usuarios. Definición completa de resolutor pueden mantener en su caché la lista de claves antigua durante hasta dos días, por lo que los problemas en sistemas que no se han actualizado podrían aparecer más adelante.
La nueva clave tiene la etiqueta Cada parte de un nombre de dominio separada por puntos, de hasta 63 caracteres. Definición completa de etiqueta 38696 y sustituye a la anterior. La IANA afirma que la mayoría de los usuarios no deberían notar nada. Los resolutores que no reconozcan la nueva clave podrían fallar en la validación de DNSSEC Comprobación que hace un resolutor de que una respuesta DNS está bien firmada con DNSSEC. Definición completa de validación de DNSSEC. La lista de claves raíz está ahora firmada por KSK-2024 y es válida desde las 00:00 UTC del 11 de octubre, mientras que la antigua KSK-2017, con etiqueta 20326, sigue listada sin firmar. Los resolutores públicos de Google y Cloudflare validaron las respuestas correctamente, aunque Google seguía sirviendo una versión en caché firmada con KSK-2017.
Hasta la mañana del martes, los operadores de la lista de correo dns-operations de DNS-OARC DNS Operations, Analysis, and Research Center La entidad que reúne a operadores e investigadores del DNS, conocida por sus talleres OARC. Definición completa de DNS-OARC no habían publicado ningún informe sobre el cambio. Han aparecido algunos fallos aislados en otros lugares. El 12 de octubre, un administrador del foro de Zimbra informó de caídas en servidores con Ubuntu 22.04 o anterior que validan DNSSEC extensiones de seguridad del DNS Firmas digitales que demuestran que las respuestas DNS son auténticas y no han sido modificadas. Definición completa de DNSSEC, y dijo que los dominios firmados no se resolvían desde el domingo y que el correo estaba bloqueado. Un usuario del foro de ASUS afirmó que el firmware del router solo conocía la clave antigua, por lo que la resolución de nombres fallaba con la validación activada.
El cambio anterior de la clave raíz tuvo lugar el 11 de octubre de 2018. La ICANN Corporación para la Asignación de Nombres y Números en Internet Organización sin ánimo de lucro que coordina el DNS mundial y las políticas de los gTLD. Definición completa de ICANN informó de interrupciones menores cuatro días después y afirmó que se resolvieron rápidamente con soluciones sencillas. La antigua KSK-2010 fue revocada en 2019. Está previsto otro traspaso que también cambiará el algoritmo de firma. La ICANN lo propuso en febrero y pretende aplicarlo sin cambios, generando una nueva clave ECDSA en 2027, mientras que la clave RSA actual expirará en 2029.