Zusammenfassung

  • SeCIU tauschte am 15. Oktober das Hardware-Sicherheitsmodul für .uy aus und erneuerte DNSSEC-Schlüssel, begleitet von rechtlicher Beglaubigung und technischen Zeugen.
  • Laut ICANN wurden Schlüssel für das derzeitige und ein künftig geplantes Verfahren erzeugt. IANAs .uy-Delegation zeigt noch einen einzigen DS mit Algorithmus 8.

Ein Schlüssel in einem gesicherten Raum in Montevideo ändert noch nicht, was Resolver auf der Welt prüfen können. Laut der Mitteilung von NIC.UY ersetzte SeCIU am 15. Oktober das Hardware-Sicherheitsmodul und erneuerte die DNSSEC-Schlüssel der Länderendung .uy. Die Rechtsabteilung der Universität beglaubigte den Vorgang; ICANN, LACNIC und weitere technische Einrichtungen waren Zeugen. Seit dem DNSSEC-Start 2015 war es die zweite Erneuerung. Die Zeremonie dokumentiert die Herkunft und Verwahrung der Schlüssel, nicht den Termin für einen Algorithmuswechsel.

Der Bericht des Zeugen ICANN macht die Abzweigung sichtbar: SeCIU erzeugte Signaturschlüssel für den aktuellen Algorithmus und für einen weiteren, der in den kommenden Monaten eingeführt werden soll. Welcher das ist und wann er live geht, bleibt offen. Der öffentliche IANA-Eintrag für .uy, am 3. November geprüft, enthält weiterhin genau einen DS: Schlüssel-Tag 19730, Algorithmus 8, Digest-Typ 2. Als letzte Änderung nennt die Seite den 7. August. Der Eintrag zeigt das Vertrauenssignal der übergeordneten Root-Zone, nicht alle Schlüssel im neuen Modul.

Zwischen Erzeugen und Einsetzen liegt der heikle Betriebsschritt. Ein Schlüssel kann vorbereitet werden, lange bevor er eine aktive Zone signiert. Beim Algorithmuswechsel müssen .uy-Signaturen und der DS der Elternzone zusammenpassen, während Resolver in einer Überlappungsphase noch den alten Pfad validieren können. Falsche Reihenfolge lässt signierte Namen scheitern, auch wenn die Zeremonie tadellos war. Die Quellen nennen weder Dauer der Überlappung noch die Nummer des künftigen Verfahrens oder den Termin des DS-Wechsels. Erst diese Angaben belegen die betriebliche Umstellung.

Die Root-KSK-Rotation vom 11. Oktober war laut ICANN eine separate Aktion. Für .uy zählt als nächste Nachricht eine datierte Änderung der IANA-Delegation mit durchgehender Validierung. Ein versiegelter Umschlag kann diese Kette nicht ersetzen.