Resumen

  • ICANN informó el 15 de octubre de que el cambio programado de la clave de firma de la zona raíz se completó el día 11: KSK-2024 sustituyó a KSK-2017 como firmante.
  • La revocación y retirada de la clave anterior siguen pendientes para 2027. ICANN evalúa avisos que afectan a un número limitado de sistemas, pero no ha establecido que el cambio los causara.

Completar el cambio no cierra todo el ciclo

El firmante DNSSEC de la raíz cambió en la fecha prevista. El aviso publicado por ICANN el 15 de octubre señala que KSK-2024 ya firma la zona raíz y que KSK-2017 dejó de hacerlo. Es una descripción del relevo criptográfico, no una certificación de que cada resolvedor haya actualizado su ancla de confianza ni de que haya concluido toda la gestión de la clave anterior.

El calendario de IANA muestra los pasos que siguen. Aunque ya no firma, KSK-2017 continúa siendo un ancla de confianza válida. IANA programa para el 11 de enero de 2027 su publicación con la señal REVOKE prevista por RFC 5011; su retirada de la zona está prevista para el 22 de marzo. Son etapas distintas, separadas en el tiempo, para que los resolvedores que siguen el mecanismo automatizado procesen la revocación antes de la retirada.

El anuncio de ICANN también conserva una incertidumbre operativa. La organización dice conocer avisos sobre problemas que afectan a un número limitado de sistemas después de la transición y que sigue evaluando su posible relación con ella. No publica un recuento, una lista de sistemas ni un dictamen causal. Esa frase no permite afirmar que el rollover provocara fallos; tampoco permite presentar el cambio como libre de incidencias.

Para los operadores, la firma visible en la zona y el ancla configurada en cada resolvedor son estados relacionados, pero no idénticos. IANA indica que los resolvedores validadores necesitan anclas de confianza actualizadas para seguir validando la raíz. Las fuentes revisadas no ofrecen una medición mundial de preparación. Por eso, que el cambio esté completo en la zona no elimina la necesidad de comprobar las instalaciones locales.

La cuestión de gobernanza es cómo se conserva el registro. «Completado según lo previsto» describe el cambio de firmante. La revocación, la retirada y la evaluación de los avisos necesitan entradas propias, con sus fechas y pruebas. Agruparlo todo bajo una sola etiqueta de finalización sería más sencillo, pero menos útil para quienes mantienen la validación DNSSEC.

Fuentes