Кратко

  • 15 октября ICANN сообщила, что плановый переход ключа подписи корневой зоны завершился 11 октября: KSK-2024 сменил KSK-2017 в роли ключа, подписывающего зону.
  • Отзыв и удаление прежнего ключа остаются запланированными этапами 2027 года. ICANN оценивает сообщения о проблемах в ограниченном числе систем, но не установила, что их вызвала смена ключа.

Завершение смены не означает завершения всего цикла

Ключ DNSSEC, подписывающий корень, сменили в установленный срок. В сообщении от 15 октября ICANN указала, что корневую зону теперь подписывает KSK-2024, а KSK-2017 больше этого не делает. Это описывает криптографический переход, но не доказывает, что каждый проверяющий резолвер обновил свой якорь доверия, и не закрывает весь жизненный цикл старого ключа.

Открытый график IANA показывает оставшиеся действия. После прекращения подписи KSK-2017 пока остаётся действующим якорем доверия. IANA планирует 11 января 2027 года опубликовать старый ключ с сигналом REVOKE по RFC 5011, а 22 марта удалить его из корневой зоны. Для резолверов, использующих механизм автоматического обновления, отзыв и удаление представляют собой разные этапы.

Сообщение ICANN оставляет открытым и эксплуатационный вопрос. Организация знает о сообщениях о проблемах, затронувших ограниченное число систем после перехода, и продолжает проверять возможную связь с ним. В уведомлении нет перечня систем, их числа или вывода о причинности. Поэтому оно не подтверждает, что переход вызвал сбои; но оно не позволяет утверждать и полное отсутствие проблем. ICANN заявила, что продолжит мониторить экосистему DNS по мере прохождения следующих этапов.

Для операторов ключ, подписывающий корневую зону, и якорь доверия, настроенный в каждом проверяющем резолвере, — связанные, но разные состояния. IANA отмечает, что резолверам нужны актуальные якоря доверия, чтобы продолжать проверку корня. В изученных материалах нет глобального замера готовности резолверов. Поэтому завершение смены в зоне не отменяет проверок локальных установок.

Вопрос управления состоит в том, сохраняет ли публичная документация это разделение. Формула «завершено по плану» относится к смене ключа подписи. Отзыв, удаление и оценка сообщений о проблемах должны иметь отдельные статусы, даты и доказательства. Единая отметка о завершении проще для сообщения, но менее полезна тем, кто отвечает за работу проверки на местах.

Источники