要約

  • 15:32 UTCにA、B、L、Mは38696を返し、16:09 UTCごろにも四つすべてが同じタグを返した。
  • 12:11 UTCの先行観測では、A、Mと二つの公開再帰サービスが20326（KSK-2017）を示した。これは時点ごとの記録で、世界全体の調査ではない。

DNS応答が状態表を追い越した

予定日が来たことだけではなく、DNS応答に次の段階が表れた。10月11日15:32 UTC、再帰を使わないTCP照会でA、B、L、Mのルートサーバー名にDNSKEYを尋ねると、四つともタグ38696の署名を返した。IANAの一覧では38696がKSK-2024、20326がKSK-2017に対応する。 約37分後の再照会でも、四つすべての名前がタグ38696を返した。

同日12:11 UTCにはAとM、さらに1.1.1.1と8.8.8.8が20326を返していた。その後、同じAとMで38696が確認され、BとLも同じだった。繰り返し確認できた二つの名前では、応答が二つの観測間に変化した。ただし、運用上の切替時刻や全任播拠点・再帰リゾルバーの状態までは示さない。署名の開始時刻00:00 UTCは有効期間の情報であり、各サーバーの切替ログではない。

RRSIGはルートのDNSKEY集合を署名する。KSK-2024の署名が見えることは、照会した権威応答が新しい鍵で集合を署名していた証拠だ。一方、各検証型リゾルバーが38696をローカルな信頼アンカーに登録したか、利用者に検証エラーが起きたかは分からない。

15:32 UTCの取得では、IANAの公開ページはKSK-2024を「Pre-Publication」、KSK-2017を「Active」と表示していた。16:09 UTCの直接再取得では、KSK-2024は署名を開始し、10月11日から「Active」、KSK-2017は「Post-Publication」となっていた。二つの取得の間にページは更新されたが、正確な時刻は分からない。APNICの10月9日記事は署名を予定として扱っていた。この記事は変化を記録するもので、全リゾルバーの準備を示すものではない。

ICANNは10月11日、検証型リゾルバーの運用者にタグ38696が信頼アンカー設定にあるかを確認し、自動更新を前提にしないよう呼びかけた。検証は本番経路ごとに行う必要がある。IANAの日程ではKSK-2017の失効は2027年1月11日、削除は3月22日の予定で、署名変更とは別段階だ。今の観測だけで将来の実施を確認したことにはならない。

16:09 UTCごろ、A、B、L、Mは再び38696を返し、IANAはKSK-2024をActive、KSK-2017をPost-Publicationと表示した。この標本は再帰リゾルバーの信頼アンカー採用、検証失敗、利用者への影響を測定していない。

出典

APNICの10月9日付レポート、IANAの信頼アンカーと日程、ICANNの運用者向け注意。DNSKEYは記載したルートサーバーのアドレスへ直接照会した。