Zusammenfassung

  • ICANN teilte am 15. Oktober mit, dass der geplante Wechsel des Root-Zone-Key-Signing-Keys am 11. Oktober abgeschlossen wurde: KSK-2024 hat KSK-2017 als Signaturschlüssel abgelöst.
  • Widerruf und Entfernung des alten Schlüssels stehen für 2027 noch aus. ICANN bewertet Meldungen zu Problemen auf einer begrenzten Zahl von Systemen, hat aber keinen ursächlichen Zusammenhang mit dem Wechsel festgestellt.

Ein abgeschlossener Signaturwechsel beendet nicht den gesamten Ablauf

Der DNSSEC-Signaturschlüssel für die Wurzel wurde zum vorgesehenen Termin gewechselt. Laut der Mitteilung vom 15. Oktober signiert KSK-2024 inzwischen die Root-Zone; KSK-2017 signiert sie nicht mehr. Damit ist der kryptografische Übergang beschrieben. Daraus folgt weder, dass jeder validierende Resolver seinen Trust Anchor aktualisiert hat, noch dass alle Schritte im Lebenszyklus des alten Schlüssels beendet sind.

Der öffentliche IANA-Zeitplan macht die verbleibenden Schritte sichtbar. KSK-2017 bleibt nach dem Ende seiner Signaturfunktion ein gültiger Trust Anchor. IANA plant, den Schlüssel am 11. Januar 2027 mit dem RFC-5011-REVOKE-Signal in der Root-Zone zu veröffentlichen und ihn am 22. März daraus zu entfernen. Für Resolver, die dem automatischen Aktualisierungsverfahren folgen, sind Widerruf und Entfernung getrennte Phasen.

Auch eine betriebliche Frage lässt ICANNs Mitteilung offen. Die Organisation kennt Berichte über Probleme auf einer begrenzten Zahl von Systemen nach der Umstellung und prüft weiterhin, ob sie damit zusammenhängen. Die Mitteilung nennt weder die betroffenen Systeme noch eine Zahl oder einen Kausalitätsbefund. Sie belegt deshalb weder, dass der Wechsel Ausfälle verursacht hat, noch dass keinerlei Probleme auftraten. ICANN will das DNS-Ökosystem während der weiteren Meilensteine beobachten.

Für Betreiber sind der in der Zone sichtbare Signaturschlüssel und der lokal konfigurierte Trust Anchor eines validierenden Resolvers zwei miteinander verbundene, aber unterschiedliche Zustände. IANA weist darauf hin, dass Resolver aktuelle Trust Anchors benötigen, um die Wurzel weiter zu validieren. Die geprüften Quellen enthalten keine weltweite Messung der Resolver-Bereitschaft. Der abgeschlossene Wechsel in der Zone ersetzt daher nicht die Prüfung einzelner Installationen.

Die Governance-Frage lautet, ob die öffentliche Dokumentation diese Zustände auseinanderhält. „Planmäßig abgeschlossen“ bezeichnet den Wechsel des Signaturschlüssels. Widerruf, Entfernung und die Bewertung der Problemmeldungen brauchen eigene Statusangaben, Termine und Belege. Alles mit einem einzigen Abschlussvermerk zusammenzufassen wäre leichter zu kommunizieren, aber weniger hilfreich für die Verantwortlichen vor Ort.

Quellen