La IANA sostituisce la chiave di firma KSK-2024 della zona radice DNS
in parole semplici
La rubrica di internet per i nomi a dominio usa una chiave speciale per dimostrare che le sue risposte sono autentiche. L'11 ottobre 2026 quella chiave è stata sostituita con una nuova. La maggior parte delle persone non dovrebbe accorgersene, ma alcuni computer e router più vecchi potrebbero non riuscire a caricare siti web o email.
Sintesi completa
La zona radice Il livello più alto del DNS, che elenca tutti i TLD e i loro name server. Definizione completa del termine zona radice DNS sistema dei nomi a dominio L'elenco di internet che collega i nomi a dominio agli indirizzi dei computer. Definizione completa del termine DNS ha iniziato a essere firmata con una nuova key signing key, KSK-2024, l'11 ottobre 2026, e la IANA Internet Assigned Numbers Authority Funzioni che coordinano la zona radice, gli indirizzi IP e i numeri di protocollo. Definizione completa del termine IANA ha confermato il passaggio lo stesso giorno. Non erano state segnalate pubblicamente grandi interruzioni. I resolver Il server DNS che cerca i nomi a dominio per conto degli utenti. Definizione completa del termine resolver possono mantenere nella cache la vecchia lista di chiavi per un massimo di due giorni, quindi eventuali problemi nei sistemi non aggiornati potrebbero comparire più tardi.
La nuova chiave ha key tag 38696 e sostituisce la precedente. La IANA afferma che la maggior parte degli utenti non dovrebbe notare nulla. I resolver che non riconoscono la nuova chiave potrebbero non riuscire la validazione DNSSEC Il controllo con cui un resolver verifica che una risposta DNS sia firmata correttamente con DNSSEC. Definizione completa del termine validazione DNSSEC. La lista delle chiavi radice è ora firmata da KSK-2024 ed è valida dalle 00:00 UTC dell'11 ottobre, mentre la vecchia KSK-2017, key tag 20326, resta elencata senza essere firmata. I resolver DNS pubblici di Google e Cloudflare hanno validato le risposte con successo, sebbene Google servisse ancora una versione in cache firmata con la KSK-2017.
Gli operatori della mailing list dns-operations del DNS-OARC DNS Operations, Analysis, and Research Center L'ente che riunisce operatori e ricercatori del DNS, noto per i suoi workshop OARC. Definizione completa del termine DNS-OARC non avevano pubblicato segnalazioni sul passaggio entro il martedì mattina. Altri singoli problemi sono comparsi altrove. Il 12 ottobre, un amministratore del forum Zimbra ha segnalato interruzioni su server con Ubuntu 22.04 o versioni precedenti che validano DNSSEC estensioni di sicurezza del DNS Firme digitali che dimostrano che le risposte DNS sono autentiche e non modificate. Definizione completa del termine DNSSEC, affermando che i domini firmati non si risolvevano dalla domenica e che la posta era bloccata. Un utente del forum ASUS ha detto che il firmware del router conosceva solo la vecchia chiave, quindi la risoluzione dei nomi falliva con la validazione attiva.
Il precedente cambio della chiave radice era avvenuto l'11 ottobre 2018. L'ICANN Internet Corporation for Assigned Names and Numbers Organizzazione senza scopo di lucro che coordina il DNS mondiale e le policy dei gTLD. Definizione completa del termine ICANN ha segnalato interruzioni minori quattro giorni dopo e ha affermato che correzioni rapide le hanno risolte. La vecchia KSK-2010 è stata revocata nel 2019. È previsto un ulteriore rollover della chiave La sostituzione pianificata, passo dopo passo, di una chiave di firma DNSSEC. Definizione completa del termine rollover della chiave, che cambierà anche l'algoritmo di firma. L'ICANN ha proposto questa modifica a febbraio e intende implementarla senza variazioni, generando una nuova chiave ECDSA nel 2027, mentre l'attuale chiave RSA scadrà nel 2029.