Resumen

  • La primera clave de firma de la zona raíz no nació a la vez que la zona firmada entró en servicio. La ceremonia del 16 de junio en Culpeper generó KSK-2010; otra, el 12 de julio en El Segundo, incorporó la clave a la instalación occidental y ejecutó nuevos pasos operativos.
  • IANA sitúa la primera zona raíz firmada en producción el 15 de julio. Guiones, funciones separadas, representantes externos, cámaras, huellas criptográficas y registros hicieron parte de la custodia examinable; no probaron que todos los resolutores validaran DNSSEC.

Tres fechas, tres acciones

El 15 de julio de 2010, IANA anunció que la zona raíz ya estaba firmada. Ese anuncio describía un cambio en los datos publicados por la raíz. No afirmaba que cada resolutor recursivo del mundo hubiera activado la validación, ni una ceremonia podía imponer esa decisión a operadores independientes.

El archivo de IANA separa ese hito de dos ceremonias. La primera tuvo lugar el 16 de junio en la instalación Este de Culpeper, Virginia. La segunda se celebró el 12 de julio en El Segundo, California. La cronología de lanzamiento coloca la primera raíz firmada en producción el 15 de julio. Generar y usar la clave bajo controles, preparar una segunda instalación y activar la ruta de firma en producción fueron trabajos distintos.

La ceremonia inicial comenzó a las 17:00 UTC del 16 de junio y cruzó la medianoche. Una presentación contemporánea de ICANN sitúa su final a las 00:25 UTC del día 17. Los documentos posteriores que atribuyen la generación al 17 de junio reflejan la hora de cierre, no necesariamente un evento diferente.

Culpeper: crear una clave con una historia verificable

Los objetivos publicados para la primera ceremonia eran concretos: poner en servicio la instalación Este de gestión de claves, generar KSK-2010 y firmar las claves de firma de zona (ZSK) previstas para el tercer trimestre. La KSK firma el conjunto DNSKEY de la raíz; la ZSK del mantenedor firma los registros de la zona raíz. DNSSEC encadena firmas entre niveles, pero eso no significa que la KSK firme directamente cada registro DNS.

IANA conserva los guiones, manifiestos SHA-256, una imagen ISO, tres grabaciones de vídeo y el registro kskgen-20100616-211906.log. El conjunto permite comparar una ejecución con los pasos previstos y examinar artefactos publicados. No convierte a quien revisa desde lejos en testigo de cada acción física, ni demuestra por sí solo que jamás ocurrió algo fuera de cámara. Su valor consiste en dejar una huella documental que admite comprobaciones independientes.

La asignación de tareas también importaba. El anuncio de ICANN del 7 de junio hablaba de 14 Trusted Community Representatives, independientes de ICANN, VeriSign y el Departamento de Comercio estadounidense, con funciones separadas. Una presentación de ICANN38 contó después 16 representantes presentes en categorías como Crypto Officers, Recovery Key Share Holders y suplentes. Las cifras describen universos distintos —voluntarios anunciados y personas asignadas a funciones en esa sesión— y no deben reducirse a un único recuento. También había personal, un auditor, un representante de VeriSign y una persona encargada de las cámaras.

El Segundo: incorporar otra instalación

El 12 de julio, la instalación Oeste de El Segundo celebró la segunda ceremonia. IANA registra su inicio a las 20:00 UTC. Sus objetivos incluían poner en servicio esa instalación, importar KSK-2010 y firmar las ZSK del cuarto trimestre. Se conservan guiones, sumas de comprobación, vídeos y un registro llamado ksrsigner-20100712-224426.log.

La actualización de lanzamiento de IANA indica que los materiales de clave se llevaron al oeste, que la clave se importó o replicó allí y que el proceso de firma trimestral avanzó. Añade que VeriSign aceptó la respuesta firmada. El registro describe una segunda instalación integrada en la operación, no una sala simbólica. Tampoco permite afirmar que hubiera una sola copia de la clave durante toda su vida: las fuentes describen una estructura controlada de varias instalaciones.

La redundancia atendía a la continuidad, aunque abría otro problema de control. Más copias, personas y artefactos exigen saber qué se replica, quién puede autorizar su uso y cómo se recupera una instalación. La separación de funciones, los ensayos, el equipo seguro, los registros y la auditoría intentaban hacer difícil el acceso unilateral y repetible el trabajo ordinario.

Firmar no equivale a desplegar en todas partes

Tras el anuncio del 15 de julio, hubo una moratoria breve sobre cambios en la raíz, del 15 al 20, para observar los efectos y corregir problemas. El intervalo recuerda que generar firmas y operar con ellas con seguridad eran tareas diferentes. Los datos firmados debían distribuirse; cada operador de resolutores aún tenía que decidir si validaba las respuestas.

El informe de NTIA del 28 de mayo describía una superficie de control repartida: IANA/ICANN respondía por la KSK, VeriSign firmaba y distribuía la zona completa con ZSK, y NTIA autorizaba cambios en la raíz bajo el arreglo vigente. Ese informe previo al lanzamiento advertía que algunas pruebas de autorización seguían incompletas en mayo. Sirve para documentar el plan y el trabajo pendiente entonces; las actualizaciones posteriores de julio registran la conclusión del lanzamiento.

Las cámaras, los hashes y la presencia de representantes daban una forma pública a una operación necesariamente privada. Permitían revisar si el procedimiento anunciado se reflejaba en los artefactos disponibles. No resolvían todas las preguntas políticas sobre quién debía administrar la raíz. Tampoco probaban la adopción mundial: un resolutor que no valida no obtiene protección DNSSEC por el hecho de que la ceremonia se haya ejecutado correctamente.

La escala adecuada de la conclusión es más precisa. La ceremonia no hizo que Internet confiara por decreto en una organización. Creó una clave mediante un proceso documentado; la segunda instalación amplió la cadena de custodia y firma; después, el servicio de producción publicó la zona firmada. En la lectura de Heng Lu, el procedimiento de coordinación debe medirse por el paso operativo que hace posible: el mantenedor aceptó una respuesta firmada y la raíz pudo distribuirla. Eso está mejor respaldado que cualquier afirmación de adopción universal.

Las rotaciones de 2016–18 y la transición futura del KSK plantean otra pregunta: cómo sustituir una clave ya instalada y comprobar que los resolutores siguen el cambio. En 2010 la cuestión era anterior: cómo crear, almacenar, transportar y operar la primera autoridad criptográfica de la raíz dejando suficientes pruebas para examinar lo ocurrido.

Fuentes

Contexto posterior complementario; no es prueba de los hechos de 2010