Resumo

  • Em 15 de outubro, a ICANN informou que a troca programada da chave de assinatura da zona raiz foi concluída em 11 de outubro: a KSK-2024 substituiu a KSK-2017 na assinatura.
  • A revogação e a remoção da chave antiga ainda estão previstas para 2027. A ICANN analisa relatos que afetam um número limitado de sistemas, mas não concluiu que a troca tenha sido a causa.

A troca terminou; o ciclo, não

A chave DNSSEC que assina a raiz mudou na data prevista. No comunicado de 15 de outubro, a ICANN diz que a KSK-2024 já assina a zona raiz e que a KSK-2017 deixou de fazê-lo. Isso descreve a transferência criptográfica. Não demonstra que todos os resolvedores concluíram a atualização de suas âncoras de confiança, nem encerra o ciclo de vida da chave anterior.

O cronograma público da IANA separa as etapas restantes. Mesmo depois de deixar de assinar, a KSK-2017 permanece uma âncora de confiança válida. A IANA prevê publicá-la com o sinal REVOKE do RFC 5011 em 11 de janeiro de 2027 e removê-la da zona raiz em 22 de março. Para os resolvedores que usam o mecanismo automatizado de atualização, a revogação e a remoção são momentos distintos.

O aviso da ICANN também deixa uma questão operacional em aberto. A organização afirma conhecer relatos de problemas em um número limitado de sistemas após a transição e diz que continua avaliando a possível relação. Não informa quantos sistemas, quais foram afetados ou se há causalidade. Portanto, não sustenta a afirmação de que o rollover provocou falhas; tampouco permite dizer que não houve problema algum. A ICANN afirma que continuará monitorando o ecossistema DNS durante os marcos restantes.

Para quem opera redes, a chave que assina a zona e a âncora configurada em cada resolvedor são estados relacionados, mas diferentes. A IANA afirma que resolvedores validadores precisam de âncoras atualizadas para continuar validando a raiz. As fontes consultadas não trazem uma medição global da prontidão. A conclusão da mudança na zona não substitui a verificação das instalações locais.

O teste de governança é manter esses estados separados no registro público. “Concluído conforme planejado” descreve a troca do signatário. Revogação, remoção e avaliação dos relatos precisam de registros próprios, com datas e evidências correspondentes. Reunir tudo em um único selo de conclusão facilita o anúncio, mas oferece menos orientação a quem responde pela validação no dia a dia.

Fontes