Résumé

  • SeCIU a remplacé le module matériel de sécurité de .uy et renouvelé ses clés DNSSEC le 15 octobre, sous certification notariale et devant des témoins techniques.
  • Selon ICANN, des clés ont été générées pour l’algorithme en service et un autre prévu plus tard. La délégation IANA de .uy montre toujours un seul DS, en algorithme 8.

Une clé enfermée à Montevideo ne change pas encore ce que valide le reste de l’Internet. Le 15 octobre, SeCIU a remplacé son module matériel de sécurité et renouvelé les clés DNSSEC de .uy. Son avis officiel décrit une certification par le service juridique de l’université et la présence d’ICANN, de LACNIC et d’opérateurs comme témoins. Il s’agit du deuxième renouvellement depuis l’adoption de DNSSEC en 2015. La cérémonie établit la garde des secrets; elle ne fixe pas une date de bascule.

Le compte rendu du témoin ICANN précise la bifurcation : de nouvelles clés de signature ont été créées pour l’algorithme actuel et pour un autre que SeCIU envisage d’introduire dans les prochains mois. Son numéro et son calendrier ne sont pas publiés. Or la fiche de délégation IANA, consultée le 3 novembre, n’affiche qu’un enregistrement DS : étiquette de clé 19730, algorithme 8 et type de condensat 2. La fiche porte le 7 août comme dernière mise à jour. Elle indique ce que la racine publie pour .uy, pas la liste de toutes les clés conservées dans le nouveau module.

C’est entre ces deux lieux que se joue le service. Une clé peut exister longtemps avant de signer la zone. Lors d’un changement d’algorithme, les signatures de .uy et le DS parent doivent se succéder avec un chevauchement qui permette aux résolveurs de valider sans interruption. Une transition mal chronométrée peut casser la résolution validée même si la cérémonie a été irréprochable. Les sources ne donnent ni la période de recouvrement, ni le futur algorithme, ni la date de modification du parent. Ce sont les éléments qui feront de la préparation une migration effective.

La rotation de la clé racine du 11 octobre, mentionnée par ICANN, suivait une procédure distincte. Pour .uy, la prochaine preuve sera la mise à jour datée du DS chez IANA et le maintien d’une chaîne de validation lisible pendant le passage. Une enveloppe scellée ne fait pas encore traverser cette chaîne.