Résumé

  • ICANN a annoncé le 15 octobre que le passage planifié à la nouvelle clé de signature de la zone racine avait été réalisé le 11 octobre : KSK-2024 a remplacé KSK-2017 pour signer la zone.
  • La révocation et le retrait de l’ancienne clé restent programmés pour 2027. ICANN évalue des signalements touchant un nombre limité de systèmes, sans conclure que le rollover en est la cause.

Une étape achevée n’est pas la fin du cycle

Le changement du signataire DNSSEC de la racine a eu lieu à la date prévue. Dans son avis du 15 octobre, ICANN indique que KSK-2024 signe désormais la zone racine et que KSK-2017 ne la signe plus. Ce constat décrit le basculement cryptographique. Il ne prouve ni que chaque résolveur a terminé sa mise à jour de l’ancre de confiance, ni que toutes les étapes de gestion de l’ancienne clé sont terminées.

Le calendrier publié par IANA précise ce qui reste. Après avoir cessé de signer, KSK-2017 demeure une ancre de confiance valide. IANA prévoit sa publication avec le signal de révocation défini par RFC 5011 le 11 janvier 2027, puis son retrait de la zone le 22 mars. Entre le changement du signataire et la suppression de l’ancienne clé, les résolveurs compatibles disposent donc d’une étape distincte pour traiter la révocation.

L’avis d’ICANN laisse ouverte une autre question. L’organisation dit avoir connaissance de signalements concernant un nombre limité de systèmes après la transition et continuer à évaluer leur lien éventuel avec celle-ci. Elle ne donne ni décompte, ni inventaire, ni conclusion causale. Lire ces mots comme la preuve d’une panne provoquée par le rollover serait excessif ; les transformer en garantie qu’aucun problème n’est survenu le serait tout autant.

Pour les opérateurs, l’état de la zone et celui des ancres locales sont deux réalités liées, mais distinctes. IANA rappelle qu’un résolveur validant doit disposer d’ancres à jour pour continuer à valider la racine. Les documents consultés ne mesurent pas la préparation de l’ensemble des résolveurs. Un changement peut donc être achevé dans la zone tandis que des contrôles locaux restent nécessaires.

La responsabilité publique consiste à conserver cette distinction dans le suivi. « Achevé comme prévu » décrit le changement de clé signataire. La révocation, le retrait et l’examen des signalements ont leurs propres dates et niveaux de preuve. Les réunir sous une seule étiquette de clôture simplifierait le récit, mais réduirait sa valeur opérationnelle.

Sources