Kořen DNS 11. října mění podpisový klíč DNSSEC: co by měli zkontrolovat provozovatelé resolverů

Kořenová zóna DNS má podle plánu 11. října 2026 přejít na nový klíč pro podepisování klíčů (KSK), uvádí Cloudflare v blogovém příspěvku ze 6. října. Podle příspěvku jde teprve o druhou výměnu tohoto klíče v kořeni. KSK stojí na vrcholu řetězce důvěry DNSSEC: validující resolver vychází z kořenového klíče, kterému již důvěřuje a který se nazývá kotva důvěry, pomocí něj ověří seznam veřejných klíčů kořene a odtud postupuje směrem dolů. Nový klíč, KSK-2024 se značkou klíče (key tag) 38696, nahrazuje KSK-2017 (značka klíče 20326) při podepisování sady DNSKEY kořene. Cloudflare varuje, že resolver, který novému klíči nezačne včas důvěřovat, by mohl odříznout své uživatele od webů pod všemi doménami nejvyšší úrovně, i když tyto weby fungují normálně.

Podle Cloudflare většina provozovatelů webových stránek nemusí nic měnit. Výměna klíče se týká každého, kdo provozuje resolver validující DNSSEC: měl by si ověřit, že resolver důvěřuje klíči KSK-2024, a pokud klíč chybí, aktualizovat kotvy důvěry podle pokynů ICANN a návodu dodavatele svého softwaru. Domény, které pro DNS využívají Cloudflare, a uživatelé 1.1.1.1 a Gateway DNS podle společnosti nemusejí nic dělat, protože její systémy novému klíči již důvěřují. Cloudflare uvádí, že KSK-2024 přidal do vestavěných kotev důvěry svého resolverového softwaru v červenci 2024, vedle KSK-2017.

Resolvery se také mohou nový kořenový klíč naučit automaticky podle RFC 5011. Kořen má KSK-2024 vedle současného klíče ve své sadě DNSKEY od 11. ledna 2025 a resolver, který tento mechanismus používá, jej přijme až poté, co jej pozoruje alespoň 30 dní a znovu ho ověří. Cloudflare připomíná, že při přípravě na první výměnu v roce 2018 viděl, jak resolvery takto naučenou důvěru ztrácely po aktualizacích softwaru nebo přesunech na jiné stroje, a proto nyní dodává nový klíč přímo se svým softwarem, místo aby spoléhal na to, že si jej každý resolver uchová.

Aby si uživatelé mohli stav ověřit předem, zpřístupnil Cloudflare test připravenosti, který se resolveru používaného prohlížečem zeptá, zda novému klíči důvěřuje. Test využívá mechanismus root key trust anchor sentinel z RFC 8509, který Cloudflare implementoval v 1.1.1.1: dva speciálně pojmenované dotazy, is-ta-38696 a not-ta-38696, vracejí buď běžnou odpověď, nebo SERVFAIL podle toho, zda resolver klíči důvěřuje. Cloudflare upozorňuje, že výsledek v prohlížeči může ovlivnit funkce Zabezpečené DNS (Secure DNS) nebo VPN a že pokud nelze zjistit, zda resolver sentinel podporuje, je výsledek neprůkazný, nikoli důkazem chybějícího klíče. KSK-2024 používá stejný algoritmus RSA/SHA-256 jako jeho předchůdce a proces po říjnu pokračuje: v roce 2027 podle příspěvku ICANN zamýšlí starý klíč revokovat, odstranit jej z kořenové zóny a smazat jeho soukromý klíč.