L'IANA remplace la clé de signature de la zone racine DNS par KSK-2024
en clair
L'annuaire d'adresses d'internet pour les noms de domaine utilise une clé spéciale pour prouver que ses réponses sont authentiques. Le 11 octobre 2026, cette clé a été remplacée par une nouvelle. La plupart des gens ne devraient rien remarquer, mais certains anciens ordinateurs et routeurs pourraient ne plus charger les sites ou les courriels.
Résumé complet
La zone racine Le sommet du DNS, qui liste tous les TLD et leurs serveurs de noms. Définition complète du terme zone racine DNS système de noms de domaine L'annuaire d'Internet qui relie les noms de domaine aux adresses des ordinateurs. Définition complète du terme DNS a commencé à être signée avec une nouvelle clé de signature de clé, KSK-2024, le 11 octobre 2026, et l'IANA Autorité chargée de la gestion de l'adressage sur Internet Fonctions qui coordonnent la zone racine, les adresses IP et les numéros de protocole. Définition complète du terme IANA a confirmé ce changement le jour même. Aucune perturbation majeure n'avait été signalée publiquement. Les résolveur Le serveur DNS qui recherche les noms de domaine pour le compte des utilisateurs. Définition complète du terme résolveur peuvent conserver l'ancienne liste de clés dans leur cache pendant deux jours au maximum, si bien que des problèmes dans les systèmes non mis à jour pourraient apparaître plus tard.
La nouvelle clé porte l'identifiant 38696 et remplace la précédente. Selon l'IANA, la plupart des utilisateurs ne devraient rien remarquer. Les résolveurs qui ne reconnaissent pas la nouvelle clé pourraient échouer à la validation DNSSEC Vérification par un résolveur qu'une réponse DNS est correctement signée avec DNSSEC. Définition complète du terme validation DNSSEC. La liste des clés racines est désormais signée par KSK-2024 et valide à partir de 00 h 00 UTC le 11 octobre, tandis que l'ancienne KSK-2017, identifiant 20326, reste listée sans être signée. Les résolveurs publics de Google et de Cloudflare ont validé les réponses avec succès, même si Google diffusait encore une version en cache signée par KSK-2017.
Les opérateurs de la liste de diffusion dns-operations de DNS-OARC DNS Operations, Analysis, and Research Center L'organisme qui réunit opérateurs et chercheurs du DNS, connu pour ses ateliers OARC. Définition complète du terme DNS-OARC n'avaient publié aucun signalement concernant le changement mardi matin. Quelques défaillances isolées sont néanmoins apparues ailleurs. Le 12 octobre, un administrateur du forum Zimbra a signalé des pannes sur des serveurs fonctionnant sous Ubuntu 22.04 ou une version antérieure, qui valident DNSSEC extensions de sécurité du DNS Signatures numériques qui prouvent que les réponses DNS sont authentiques et n'ont pas été modifiées. Définition complète du terme DNSSEC, en expliquant que les domaines signés ne se résolvaient plus depuis dimanche et que les courriels étaient bloqués. Un utilisateur du forum ASUS a indiqué que le micrologiciel de son routeur ne connaissait que l'ancienne clé, si bien que la résolution des noms échouait lorsque la validation était activée.
Le précédent roulement de clé Remplacement planifié, étape par étape, d'une clé de signature DNSSEC. Définition complète du terme roulement de clé de la zone racine avait eu lieu le 11 octobre 2018. L'ICANN Société pour l'attribution des noms de domaine et des numéros sur Internet Organisation à but non lucratif qui coordonne le DNS mondial et les politiques des gTLD. Définition complète du terme ICANN avait signalé de légères perturbations quatre jours plus tard et indiqué que des correctifs rapides les avaient résolues. L'ancienne KSK-2010 a été révoquée en 2019. Un nouveau roulement est prévu et modifiera aussi l'algorithme de signature. L'ICANN a proposé cette évolution en février et entend la mettre en œuvre sans changement : une nouvelle clé ECDSA sera générée en 2027, la clé RSA actuelle expirant en 2029.