Resumo

  • O resultado de aproximadamente 70% da APNIC depende dos testes que emitiram claramente o sinal-sentinela da RFC 8509; os cerca de 90% da Verisign tratam dos resolvedores que reportaram pela RFC 8145. Não são duas estimativas da mesma população.
  • A raiz começou a assinar com a KSK-2024 em 11 de outubro de 2026. As fontes públicas confirmam a mudança e que não havia sido observada uma interrupção operacional generalizada, mas não contam todos os resolvedores, usuários únicos ou falhas isoladas.

Percentual sem denominador muda de significado

A interpretação mais tentadora dos números da troca de chave também é a menos defensável: se aproximadamente 70% do grupo medido confiava na nova chave, talvez os 30% restantes dos usuários estivessem expostos. Essa conclusão troca o denominador sem evidência. O APNIC Labs não afirmou ter contado todos os resolvedores ou pessoas. O resultado descreve testes que demonstraram uma capacidade específica de medição.

A APNIC diz que seu sistema de testes baseado em anúncios realiza aproximadamente 16 milhões de testes por dia. Cerca de seis milhões de resultados diários indicam um resolvedor que valida DNSSEC, e aproximadamente 1,8 milhão apresenta claramente o sinal-sentinela da RFC 8509. O índice de cerca de 70% é calculado entre testes que parecem oferecer esse sinal e reportam a KSK-2024 como âncora de confiança. Um teste é uma observação, não uma pessoa única comprovada. Eventos repetidos podem vir da mesma pessoa, rede ou resolver; a metodologia pública não os transforma em um censo ponderado da população.

Isso continua sendo uma evidência útil. Entre a parcela mensurável que consegue responder ao teste, a nova âncora ainda não era universal quando as observações foram coletadas pela APNIC. O resultado ajuda a encontrar padrões e direcionar verificações. Seu valor depende de manter a condição junto do número.

A Verisign observou outro sinal

Os aproximadamente 90% resumidos pela APNIC vêm dos relatos da RFC 8145 observados pela Verisign. Um resolvedor compatível pode enviar ao sistema de servidores-raiz um sinal sobre as etiquetas de chave que reconhece como âncoras de confiança. Esse ponto de observação difere de uma consulta-sentinela da RFC 8509 feita do lado do usuário final. O conjunto inclui resolvedores que suportam o mecanismo e geram relatos observáveis; por definição, não inclui todos os resolvedores recursivos.

Um resolvedor que reporta tampouco equivale a uma pessoa. Ele pode servir uma residência, uma empresa, um provedor de acesso ou várias redes a jusante. O relato disponível não informa quantos usuários estão atrás de cada resolvedor para permitir ponderação por população. Portanto, a diferença entre 70% e 90% não demonstra contradição, tendência em amostras equivalentes nem aumento global de dez pontos. Os protocolos, critérios de inclusão, períodos de coleta e caminhos de rede são diferentes.

Uma pequena medição do RIPE Atlas oferece uma terceira verificação, não um árbitro entre os dois índices. Em 5 de outubro, sondas distribuídas por 2.900 sistemas autônomos incluíam 1.230 comportamentos compatíveis com o carregamento da nova chave e 47 compatíveis com a ausência dela. O conjunto era limitado e não foi ponderado pelo número de usuários. A tabela da APNIC sobre redes com baixas taxas de aceitação também define um mínimo de testes com sinal-sentinela para facilitar a interpretação; esse limite não prova uma interrupção na rede inteira.

Assinatura da raiz não revela a confiança local

A IANA lista a KSK-2024, etiqueta 38696, como ativa e assinando a zona-raiz desde 11 de outubro. A KSK-2017, etiqueta 20326, segue na fase pós-publicação e continua sendo uma âncora válida. Sua revogação está prevista para 11 de janeiro de 2027, e a remoção para 22 de março. São estados operacionais distintos: a nova chave pode assinar enquanto um validador ainda mantém a antiga como âncora válida.

O estado da ICANN afirma que a nova chave começou a assinar às 14:00 UTC de 11 de outubro e que, na atualização consultada, não havia indicações observadas de uma interrupção operacional generalizada; o monitoramento continuaria. Isso descreve o quadro observado, não prova que todos os validadores locais aceitaram a chave. Também não demonstra que nenhuma falha isolada ocorreu. Da mesma forma, um teste que não mostra a nova chave não prova, sozinho, que uma consulta DNS falhou.

O mecanismo de falha é condicional. Um resolvedor que valida DNSSEC e não dispõe de uma cadeia de confiança utilizável para a raiz pode rejeitar dados assinados. Um resolvedor que não valida DNSSEC não falha por esse caminho específico. Mesmo no caso de um validador, o resultado depende do estado local das âncoras, da configuração e do caminho da consulta. A assinatura da raiz responde qual chave assinou a zona; não revela o estado de cada validador a jusante.

O que as medições permitem concluir

A evidência sustenta três conclusões limitadas. Primeiro, a troca ocorreu conforme planejado. Segundo, vários instrumentos encontraram adoção significativa, mas cada um descreve sua própria parcela observável. Terceiro, o relato pós-troca analisado não indicava uma interrupção generalizada. Isso não sustenta que 30% dos usuários estavam em risco, que 10% de todos os resolvedores não tinham a chave ou que a preparação chegou a 100%.

O que falta não é outro percentual chamativo. Falta uma ligação defensável entre as observações e a quantidade e distribuição de resolvedores validadores afetados, e depois entre esses resolvedores e os usuários e serviços atendidos. Isso exige cobertura explícita, deduplicação, janelas de tempo, ponderação e uma medida do resultado após a troca. Até lá, toda taxa deve manter seu denominador, e o estado observado da chave deve permanecer separado do impacto inferido para usuários.

Fontes