Résumé

  • À 15 h 32 UTC, A, B, L et M ont renvoyé 38696 ; les quatre noms l’ont renvoyé de nouveau vers 16 h 09 UTC.
  • À 12 h 11 UTC, un échantillon antérieur montrait encore 20326, l’identifiant de KSK-2017, sur A, M et deux résolveurs publics. Ce sont des instantanés, pas une mesure mondiale.

La réponse a devancé la page de statut

Le calendrier annonçait une date; la réponse DNS apporte désormais une trace observable. À 15 h 32 UTC le 11 octobre, des requêtes TCP sans récursion vers A, B, L et M ont reçu une signature RRSIG pour l’ensemble DNSKEY de la racine, sous l’identifiant 38696. La table de l’IANA attribue ce numéro à KSK-2024 et 20326 à KSK-2017. Un nouveau contrôle environ 37 minutes plus tard a renvoyé le numéro 38696 pour les quatre noms.

À 12 h 11 UTC, A et M, ainsi que 1.1.1.1 et 8.8.8.8, renvoyaient toujours 20326. Plus tard, A et M affichaient 38696, comme B et L. Les deux noms répétés encadrent une évolution des réponses observées, sans fixer l’heure opérationnelle du changement ni couvrir tous les points anycast ou résolveurs récursifs. Le champ d’activation à minuit UTC indique la validité de la signature, pas l’heure de changement de chaque serveur.

La RRSIG couvre l’ensemble DNSKEY qui sert à vérifier les clés de la racine. Sa présence sous KSK-2024 établit ce que renvoyaient les réponses autoritatives interrogées. Elle ne prouve ni que chaque résolveur validateur a installé 38696 comme ancre de confiance, ni qu’un utilisateur a subi un échec de validation.

À 15 h 32 UTC, la page publique de l’IANA affichait encore KSK-2024 comme « Pre-Publication » et KSK-2017 comme « Active ». Une récupération directe revalidée à 16 h 09 UTC indiquait que KSK-2024 signait désormais la zone et était « Active » depuis le 11 octobre ; KSK-2017 était « Post-Publication ». La page a changé entre les captures, sans que l’heure exacte soit connue. Le billet APNIC du 9 octobre présentait encore la signature comme à venir. Ce compte rendu décrit cette évolution sans conclure sur tous les résolveurs.

Le rappel de l’ICANN du 11 octobre demande aux opérateurs de vérifier la présence de 38696 dans leurs ancres de confiance, sans présumer que l’actualisation automatique a réussi. Ce contrôle est local. L’IANA prévoit la révocation de KSK-2017 le 11 janvier 2027 et son retrait le 22 mars; la signature observée ne prouve aucune de ces étapes futures.

Vers 16 h 09 UTC, A, B, L et M renvoyaient encore 38696 ; l’IANA indiquait KSK-2024 comme active et KSK-2017 comme « Post-Publication ». Ces observations ne mesurent ni l’adoption par les résolveurs récursifs, ni les échecs de validation, ni l’impact utilisateur.

Sources

APNIC’s 9 October report; IANA’s root trust-anchor and rollover schedule; ICANN’s 11 October resolver-operator reminder. The DNSKEY readings are direct observations at the named root-server addresses.