Resumo

  • Às 15h32 UTC, A, B, L e M retornaram 38696; os quatro nomes repetiram o resultado por volta das 16h09 UTC.
  • Às 12h11 UTC, A, M e dois serviços recursivos públicos ainda exibiam 20326, identificador da KSK-2017. São observações pontuais, não um retrato global.

O dado na rede mudou antes do status público

A data estava no cronograma; agora a própria resposta DNS oferece uma evidência direta. Às 15h32 UTC de 11 de outubro, consultas TCP sem recursão aos nomes raiz A, B, L e M receberam uma RRSIG do conjunto DNSKEY da raiz com a etiqueta 38696. A tabela da IANA associa esse número à KSK-2024 e 20326 à KSK-2017. Uma nova consulta cerca de 37 minutos depois retornou a etiqueta 38696 nos quatro nomes.

Na medição anterior, às 12h11 UTC, A e M, além de 1.1.1.1 e 8.8.8.8, ainda mostravam 20326. Depois, os mesmos nomes A e M já exibiam 38696, assim como B e L. Isso situa uma mudança nas respostas observadas entre as amostras; não determina o horário operacional nem cobre todas as instâncias anycast e os resolvedores recursivos. O início às 00h UTC no campo da assinatura indica validade, não o instante da troca em cada servidor.

A RRSIG protege o conjunto DNSKEY usado para verificar as chaves da raiz. A assinatura da KSK-2024 confirma o que os servidores autoritativos consultados entregaram. Não mostra se todos os resolvedores validadores incluíram 38696 nas âncoras de confiança locais nem se houve falha para algum usuário.

Às 15h32 UTC, a página pública da IANA ainda classificava a KSK-2024 como “Pre-Publication” e a KSK-2017 como “Active”. Uma consulta direta revalidada às 16h09 UTC dizia que a KSK-2024 já assinava a zona e estava “Active” desde 11 de outubro; a KSK-2017 aparecia como “Post-Publication”. A página mudou entre as capturas, mas o horário exato é desconhecido. O texto da APNIC de 9 de outubro ainda tratava a assinatura como futura. Esta notícia registra a mudança sem afirmar que todos os resolvedores estejam prontos.

No lembrete de 11 de outubro, a ICANN pede que operadores verifiquem a etiqueta 38696 nas âncoras de confiança e não presumam que a atualização automática funcionou. A checagem deve ser feita localmente. A IANA prevê revogar a KSK-2017 em 11 de janeiro de 2027 e removê-la em 22 de março; a assinatura observada não confirma esses eventos posteriores.

Por volta das 16h09 UTC, A, B, L e M retornaram 38696 novamente; a IANA listava a KSK-2024 como ativa e a KSK-2017 como “Post-Publication”. As amostras não medem a adoção por resolvedores recursivos, falhas de validação nem impacto para usuários.

Fontes

Relato da APNIC de 9 de outubro; cronograma e âncoras da IANA; lembrete da ICANN a operadores, 11 de outubro. As leituras DNSKEY foram obtidas por consultas diretas aos endereços citados.