IANA переводит корневую зону DNS на новый ключ подписи KSK-2024
простыми словами
Адресная книга интернета для доменных имен использует особый ключ, чтобы доказать, что ее ответы настоящие. 11 октября 2026 года этот ключ заменили на новый. Большинство людей ничего не заметит, но некоторые старые компьютеры и роутеры могут не открывать сайты или почту.
Подробное изложение
Корневая зона DNS система доменных имен Справочник интернета, который связывает доменные имена с адресами компьютеров. Полное определение термина DNS начала подписываться новым ключом подписи ключей KSK-2024 11 октября 2026 года, и IANA Администрация адресного пространства интернета Функции, которые координируют корневую зону, IP-адреса и номера протоколов. Полное определение термина IANA подтвердила переход в тот же день. Масштабных сбоев публично не сообщалось. резолвер DNS-сервер, который ищет доменные имена по запросам пользователей. Полное определение термина резолвер могут хранить старый список ключей в кэше до двух дней, поэтому проблемы в системах, которые не обновились, могут появиться позже.
Новый ключ имеет тег ключа 38696 и заменяет предыдущий. По словам IANA, большинство пользователей не должны ничего заметить. Резолверы, которые не распознают новый ключ, могут не пройти валидацию DNSSEC расширения безопасности DNS Цифровые подписи, которые подтверждают, что ответы DNS подлинны и не изменены. Полное определение термина DNSSEC. Список корневых ключей теперь подписан KSK-2024 и действителен с 00:00 UTC 11 октября, а более старый KSK-2017 с тегом ключа 20326 остается в списке, но уже не подписывает его. Публичные резолверы Google и Cloudflare успешно проверили ответы, хотя Google по-прежнему отдавал кэшированную версию, подписанную KSK-2017.
Операторы в списке рассылки dns-operations на DNS-OARC DNS Operations, Analysis, and Research Center Организация, объединяющая операторов и исследователей DNS, известная своими семинарами OARC. Полное определение термина DNS-OARC к утру вторника не публиковали сообщений о переходе. Отдельные сбои все же появились в других местах. 12 октября администратор на форуме Zimbra сообщил о сбоях на серверах с Ubuntu 22.04 и старше, которые проверяют DNSSEC: по его словам, подписанные домены не резолвились с воскресенья, а письма застряли. Пользователь на форуме ASUS написал, что в прошивке роутера известен только старый ключ, поэтому разрешение имен не работало при включенной проверке.
Предыдущая смена корневого ключа прошла 11 октября 2018 года. Через четыре дня ICANN Интернет-корпорация по присвоению имен и номеров Некоммерческая организация, которая координирует глобальную DNS и политику в отношении gTLD. Полное определение термина ICANN сообщила о небольших сбоях и заявила, что быстрые исправления их устранили. Старый KSK-2010 был отозван в 2019 году. Планируется еще одна смена, которая также изменит алгоритм подписи. ICANN предложила это в феврале и намерена реализовать без изменений: в 2027 году будет сгенерирован новый ключ ECDSA, а текущий ключ RSA истечет в 2029 году.