Resumen

  • El resultado cercano al 70 % de APNIC depende de las pruebas que emitieron con claridad la señal centinela de RFC 8509; el 90 % aproximado de Verisign se refiere a resolutores que informaron mediante RFC 8145. No son estimaciones de una misma población.
  • La raíz empezó a firmar con KSK-2024 el 11 de octubre de 2026. La evidencia pública confirma el cambio y que no se había observado una interrupción generalizada, pero no cuenta todos los resolutores, las personas únicas ni los fallos aislados.

Todo porcentaje necesita un denominador

La lectura más tentadora de las cifras del cambio de clave es también la menos defendible: si cerca del 70 % del grupo medido confiaba en la clave entrante, quizá el 30 % restante de los usuarios estaba expuesto. Esa conclusión cambia el denominador sin pruebas. APNIC Labs no afirmó haber contado todos los resolutores ni a todas las personas. Su resultado describe pruebas que mostraron una capacidad concreta de medición.

APNIC indica que su sistema de pruebas basado en anuncios genera unos 16 millones de pruebas al día. Cerca de seis millones de resultados diarios señalan un resolutor que valida DNSSEC, y alrededor de 1,8 millones muestran claramente la señal centinela de RFC 8509. El porcentaje cercano al 70 % se calcula dentro de las pruebas que parecen admitir esa señal y reportan KSK-2024 como ancla de confianza. Una prueba es una observación, no una persona única demostrada. Los eventos repetidos pueden proceder de la misma persona, red o resolver; el método publicado no los convierte en un censo ponderado de la población.

Aun así, la evidencia es útil. Entre el subconjunto medible capaz de responder a esta prueba, la nueva ancla no era universal cuando APNIC recogió las observaciones. El dato ayuda a localizar patrones y orientar verificaciones. Para conservar su valor hay que mantener la condición junto a la cifra.

Verisign observó otra señal

El valor aproximado del 90 % que APNIC resume procede de los informes RFC 8145 de Verisign. Un resolver compatible puede enviar al sistema de servidores raíz una señal sobre las etiquetas de clave que reconoce como anclas de confianza. El punto de observación es distinto de una consulta centinela RFC 8509 desde el lado del usuario. El conjunto incluye resolutores que admiten el mecanismo y generan informes observables; por definición, no incluye a todos los resolutores recursivos.

Un resolutor que informa tampoco equivale a una persona. Puede atender a un hogar, una empresa, un proveedor de acceso o muchas redes descendentes. El informe disponible no indica cuántos usuarios hay detrás de cada resolver para ponderar las observaciones por población. Por ello, la diferencia entre el 70 % y el 90 % no demuestra una contradicción, una tendencia entre muestras equivalentes ni un avance global de diez puntos. Cambian los protocolos, los criterios de inclusión, los periodos de recogida y las rutas de red.

Una pequeña medición de RIPE Atlas aporta una tercera comprobación, no un árbitro entre los porcentajes. El 5 de octubre, las sondas repartidas por 2.900 sistemas autónomos incluían 1.230 cuyo comportamiento era compatible con haber cargado la clave nueva y 47 compatibles con no haberla cargado. El conjunto era limitado y no estaba ponderado por usuarios. La tabla de APNIC sobre redes con baja aceptación también exige un mínimo de pruebas con señal centinela para que la comparación resulte más clara; ese umbral no demuestra una caída de toda la red.

La firma de la raíz no revela el estado local

IANA muestra KSK-2024, etiqueta 38696, como activa y firmando la zona raíz desde el 11 de octubre. KSK-2017, etiqueta 20326, sigue en fase de pospublicación y continúa siendo un ancla válida. Su revocación está prevista para el 11 de enero de 2027 y su retirada para el 22 de marzo. Son estados operativos diferentes: la clave nueva puede firmar mientras un validador conserva la anterior como ancla válida.

El estado de ICANN dice que la nueva clave empezó a firmar a las 14:00 UTC del 11 de octubre y que, en la actualización consultada, no se habían observado indicios de una interrupción operativa generalizada; la vigilancia continuaría. Eso describe el panorama observado, no certifica el estado de cada validador local. Tampoco prueba que no hubiera fallos aislados. A la inversa, una prueba que no muestre la clave nueva no demuestra por sí sola que fallara una consulta DNS.

El mecanismo de fallo es condicional. Un resolutor que valida DNSSEC y carece de una cadena de confianza utilizable para la raíz puede rechazar datos firmados. Uno que no valida DNSSEC no falla por esa vía concreta. Incluso en un validador, el resultado depende del estado local de las anclas, la configuración y la ruta de consulta. La firma de la raíz indica qué clave firmó la zona; no muestra el estado de cada validador aguas abajo.

Lo que sí permiten afirmar las mediciones

La evidencia respalda tres conclusiones acotadas. Primero, el cambio ocurrió según lo previsto. Segundo, varios instrumentos observaron una adopción sustancial, pero cada uno describe su propio subconjunto visible. Tercero, el estado posterior al cambio que se revisó no señalaba una interrupción generalizada. No permite afirmar que el 30 % de los usuarios estuviera expuesto, que el 10 % de todos los resolutores no tuviera la clave o que la preparación alcanzara el 100 %.

La cantidad ausente no es otro porcentaje llamativo. Hace falta una conexión defendible entre las observaciones y el número y distribución de los resolutores validadores afectados, y después entre esos resolutores y las personas y servicios que atienden. Para ello se necesitan cobertura explícita, deduplicación, ventanas temporales, ponderación y una medida del resultado posterior al cambio. Hasta entonces, cada tasa debe conservar su denominador y el estado observado de la clave debe permanecer separado del impacto inferido sobre los usuarios.

Fuentes