要約

  • ICANNは10月15日、予定されていたルートゾーンの鍵署名鍵切替が10月11日に完了し、KSK-2024がKSK-2017に代わって署名していると発表しました。
  • 旧鍵の失効と削除は2027年の予定として残っています。ICANNは一部システムに関する報告を調べていますが、切替との因果関係を認定していません。

署名鍵の切替完了は、手順全体の完了ではない

ルートDNSSECの署名鍵は予定どおり切り替わりました。10月15日のICANN発表によると、KSK-2024がルートゾーンに署名し、KSK-2017は署名を終えています。これは暗号鍵の切替状態を示します。しかし、すべての検証リゾルバーが信頼アンカーを更新した証明でも、旧鍵のライフサイクルが終わったという意味でもありません。

IANAの信頼アンカー予定表には残る処理が記されています。KSK-2017は署名を終えた後も有効な信頼アンカーです。IANAは2027年1月11日にRFC 5011のREVOKE信号を付けて旧鍵を公開し、3月22日にルートゾーンから削除する予定です。自動更新方式を使うリゾルバーにとって、失効と削除の間には別個の処理段階があります。

ICANNの発表は、運用上の別の問いも未確定のままにしています。切替後に一部システムで問題があったとの報告を把握し、関連する可能性を評価しているとしています。対象システムの一覧、件数、因果関係の結論は公表していません。したがって「切替が障害を起こした」とも「問題はなかった」とも断定できません。残りの運用段階を通じてDNS環境の監視を続けるというのが、現時点の説明です。

運用者にとって、ルートゾーン上の署名鍵と、検証リゾルバーに設定された信頼アンカーは関連していても同一の状態ではありません。IANAは、ルートを検証し続けるには最新の信頼アンカーが必要だと説明しています。参照した資料には全リゾルバーの準備状況を示す測定値はありません。ゾーン上の切替完了後も、各環境での確認が必要です。

ガバナンス上の試金石は、公開記録がこれらの状態を分けて示すかどうかです。「予定どおり完了」は署名鍵の切替を指します。旧鍵の失効、削除、問題報告の証拠評価は、それぞれ別の日付と根拠を持つ記録にすべきです。全工程を一つの完了表示にまとめれば説明は簡単になりますが、現場で検証を担う人には役立ちにくくなります。

出典