Zusammenfassung

  • Um 15:32 UTC lieferten A, B, L und M die Kennung 38696; gegen 16:09 UTC wiederholten alle vier das Ergebnis.
  • Um 12:11 UTC hatten A, M und zwei öffentliche rekursive Dienste noch 20326 gezeigt, die Kennung von KSK-2017. Das sind Momentaufnahmen, keine globale Erhebung.

Die Antwort änderte sich vor dem Statusvermerk

Der Zeitplan nannte einen Termin. Nun lässt sich die Änderung auch in DNS-Antworten beobachten. Direkte TCP-Abfragen ohne Rekursion an A, B, L und M ergaben um 15:32 UTC am 11. Oktober jeweils eine RRSIG des Root-DNSKEY-Satzes mit Kennung 38696. In IANAs Tabelle steht 38696 für KSK-2024 und 20326 für KSK-2017. Eine Wiederholung rund 37 Minuten später ergab bei allen vier Namen erneut 38696.

Um 12:11 UTC hatten A und M sowie 1.1.1.1 und 8.8.8.8 noch 20326 gezeigt. In der späteren Stichprobe lieferten A und M 38696, ebenso B und L. Die wiederholt geprüften Namen belegen eine Änderung der beobachteten Antworten zwischen den Messungen. Sie nennen weder den genauen Betriebszeitpunkt noch erfassen sie jede Anycast-Instanz oder jeden rekursiven Resolver. Der Signaturbeginn 00:00 UTC ist eine Gültigkeitsangabe, kein Änderungsprotokoll für jeden Server.

Die RRSIG schützt den DNSKEY-Satz, der zur Prüfung der Root-Schlüssel dient. KSK-2024 als Signaturschlüssel belegt, was die abgefragten autoritativen Antworten auslieferten. Es belegt nicht, dass jeder validierende Resolver 38696 lokal als Trust Anchor übernommen hat oder Nutzer einen Fehler sahen.

Um 15:32 UTC führte IANAs öffentliche Seite KSK-2024 noch als „Pre-Publication“ und KSK-2017 als „Active“. Ein direkt revalidierter Abruf um 16:09 UTC meldete, KSK-2024 signiere nun und sei seit dem 11. Oktober „Active“; KSK-2017 stand auf „Post-Publication“. Die Seite änderte sich zwischen den Abrufen, der genaue Zeitpunkt ist unbekannt. APNICs Beitrag vom 9. Oktober beschrieb den Signaturbeginn noch als bevorstehend. Dieser Bericht hält die Änderung fest, ohne die Bereitschaft aller Resolver zu behaupten.

ICANN forderte Resolver-Betreiber am 11. Oktober auf, die Kennung 38696 in ihren Trust-Anchor-Einstellungen zu prüfen und automatische Aktualisierungen nicht vorauszusetzen. Entscheidend bleibt der lokale Test. IANA nennt als spätere Termine den Widerruf von KSK-2017 am 11. Januar 2027 und die Entfernung am 22. März. Die heutige Signatur belegt keinen dieser Schritte.

Um 16:09 UTC lieferten A, B, L und M erneut 38696; IANA führte KSK-2024 als aktiv und KSK-2017 als „Post-Publication“. Die Stichproben messen weder Trust-Anchor-Übernahme bei rekursiven Resolvern noch Validierungsfehler oder Nutzerauswirkungen.

Quellen

APNIC-Bericht vom 9. Oktober; IANA-Zeitplan für Root-Trust-Anchors; ICANN-Hinweis für Resolver-Betreiber vom 11. Oktober. Die DNSKEY-Werte stammen aus direkten Abfragen der genannten Root-Server-Adressen.