Resumen

  • A las 15:32 UTC, A, B, L y M devolvieron 38696; los cuatro nombres lo repitieron hacia las 16:09 UTC.
  • A las 12:11 UTC, una muestra previa aún registró 20326, la etiqueta de KSK-2017, en A, M y dos servicios recursivos públicos. Son observaciones puntuales, no un estudio global.

La firma avanzó antes que la página de estado

El calendario señalaba una fecha; ahora hay una señal directa en las respuestas DNS. A las 15:32 UTC del 11 de octubre, consultas TCP sin recursión a los nombres raíz A, B, L y M recibieron una RRSIG del conjunto DNSKEY de la raíz con la etiqueta 38696. IANA asigna ese número a KSK-2024 y 20326 a KSK-2017. Una nueva consulta unos 37 minutos después devolvió la etiqueta 38696 en los cuatro nombres.

A las 12:11 UTC, A y M, además de 1.1.1.1 y 8.8.8.8, todavía mostraban 20326. En la consulta posterior, A y M ya respondían con 38696, igual que B y L. Los dos nombres repetidos sitúan un cambio entre las muestras, pero no fijan el instante operativo ni cubren cada instancia anycast o resolutor recursivo. El inicio 00:00 UTC de la firma es un campo de validez, no un registro de cuándo cambió cada servidor.

La RRSIG cubre el conjunto DNSKEY usado para validar las claves de la raíz. La firma de KSK-2024 confirma lo que entregaron los servidores autoritativos consultados. No prueba que cada resolutor validador haya cargado 38696 como ancla de confianza local ni que se haya producido un error para algún usuario.

A las 15:32 UTC, la página pública de IANA aún mostraba KSK-2024 como “Pre-Publication” y KSK-2017 como “Active”. Una consulta directa revalidada a las 16:09 UTC indicaba que KSK-2024 ya firmaba la zona y figuraba como “Active” desde el 11 de octubre; KSK-2017 aparecía como “Post-Publication”. La página cambió entre capturas, aunque se desconoce la hora exacta. El artículo de APNIC del 9 de octubre todavía trataba la firma como futura. Esta noticia registra el cambio sin afirmar que todos los resolutores estén listos.

El recordatorio de ICANN del 11 de octubre pide a los operadores comprobar que 38696 esté en su configuración de anclas de confianza, sin dar por hecho que la actualización automática funcionó. La verificación es local. IANA programa la revocación de KSK-2017 para el 11 de enero de 2027 y su retirada para el 22 de marzo; la firma observada no demuestra que esos hitos ya ocurrieron.

Hacia las 16:09 UTC, A, B, L y M volvieron a mostrar 38696; IANA indicaba KSK-2024 como activa y KSK-2017 como “Post-Publication”. Las muestras no miden la adopción en resolutores recursivos, los fallos de validación ni el impacto en usuarios.

Sources

APNIC’s 9 October report; IANA’s root trust-anchor and rollover schedule; ICANN’s 11 October resolver-operator reminder. The DNSKEY readings are direct observations at the named root-server addresses.