DNS रूट 11 अक्टूबर को अपनी DNSSEC साइनिंग कुंजी बदलेगा: रिज़ॉल्वर ऑपरेटरों को क्या जाँचना चाहिए

Cloudflare ने 6 अक्टूबर की एक ब्लॉग पोस्ट में कहा है कि DNS रूट ज़ोन का 11 अक्टूबर 2026 को एक नई की-साइनिंग कुंजी (KSK) पर स्विच करना निर्धारित है। पोस्ट के अनुसार, यह केवल दूसरी बार है जब रूट ने यह कुंजी बदली है। KSK, DNSSEC की चेन ऑफ़ ट्रस्ट (विश्वास शृंखला) के शीर्ष पर होती है: एक वैलिडेटिंग रिज़ॉल्वर किसी ऐसी रूट कुंजी से शुरुआत करता है जिस पर वह पहले से भरोसा करता है, जिसे ट्रस्ट एंकर कहा जाता है, उसका उपयोग रूट की सार्वजनिक कुंजियों की सूची को सत्यापित करने के लिए करता है और वहाँ से नीचे की ओर बढ़ता है। नई कुंजी, कुंजी टैग 38696 वाली KSK-2024, रूट के DNSKEY सेट पर हस्ताक्षर करने में KSK-2017 (कुंजी टैग 20326) का स्थान लेती है। Cloudflare चेतावनी देता है कि जो रिज़ॉल्वर समय पर नई कुंजी पर भरोसा करने में विफल रहता है, वह अपने उपयोगकर्ताओं को हर टॉप-लेवल डोमेन के अंतर्गत आने वाली साइटों से काट सकता है, भले ही वे साइटें सामान्य रूप से चल रही हों।

Cloudflare का कहना है कि अधिकांश वेबसाइट ऑपरेटरों को कुछ भी बदलने की ज़रूरत नहीं है। यह रोलओवर उन सभी के लिए मायने रखता है जो DNSSEC-वैलिडेटिंग रिज़ॉल्वर चलाते हैं: उन्हें यह पुष्टि करनी चाहिए कि उनका रिज़ॉल्वर KSK-2024 पर भरोसा करता है और, जहाँ यह कुंजी मौजूद नहीं है, वहाँ ICANN के मार्गदर्शन और अपने सॉफ़्टवेयर विक्रेता के निर्देशों के अनुसार ट्रस्ट एंकर अपडेट करने चाहिए। कंपनी के अनुसार, जो डोमेन DNS के लिए Cloudflare का उपयोग करते हैं, और 1.1.1.1 तथा Gateway DNS के उपयोगकर्ताओं को कोई कार्रवाई करने की आवश्यकता नहीं है, क्योंकि इसके सिस्टम पहले से ही नई कुंजी पर भरोसा करते हैं। Cloudflare का कहना है कि उसने जुलाई 2024 में अपने रिज़ॉल्वर सॉफ़्टवेयर के अंतर्निहित ट्रस्ट एंकरों में KSK-2017 के साथ KSK-2024 को जोड़ा था।

रिज़ॉल्वर RFC 5011 के तहत किसी नई रूट कुंजी को स्वचालित रूप से भी सीख सकते हैं। रूट 11 जनवरी 2025 से अपने DNSKEY सेट में वर्तमान कुंजी के साथ KSK-2024 को भी रखे हुए है, और इस प्रणाली का उपयोग करने वाला रिज़ॉल्वर इसे कम से कम 30 दिनों तक देखने और एक बार फिर सत्यापित करने के बाद ही स्वीकार करता है। Cloudflare याद करता है कि 2018 में पहले रोलओवर की तैयारी के दौरान उसने देखा था कि सॉफ़्टवेयर अपग्रेड या दूसरी मशीनों पर स्थानांतरण के बाद रिज़ॉल्वर इस तरह सीखा गया भरोसा खो देते थे, और इसी कारण वह अब हर रिज़ॉल्वर पर इसे बनाए रखने के लिए निर्भर रहने के बजाय नई कुंजी को अपने सॉफ़्टवेयर के साथ ही उपलब्ध कराता है।

उपयोगकर्ताओं को पहले से जाँच करने का अवसर देने के लिए, Cloudflare ने एक तैयारी परीक्षण (रेडीनेस टेस्ट) उपलब्ध कराया है जो ब्राउज़र द्वारा उपयोग किए जा रहे रिज़ॉल्वर से पूछता है कि क्या वह नई कुंजी पर भरोसा करता है। यह परीक्षण RFC 8509 के रूट कुंजी ट्रस्ट एंकर सेंटिनल पर आधारित है, जिसे Cloudflare ने 1.1.1.1 में लागू किया है: विशेष नाम वाली दो क्वेरी, is-ta-38696 और not-ta-38696, इस पर निर्भर करते हुए कि रिज़ॉल्वर कुंजी पर भरोसा करता है या नहीं, या तो सामान्य उत्तर देती हैं या SERVFAIL। Cloudflare बताता है कि ब्राउज़र का परिणाम Secure DNS (सुरक्षित DNS) या VPN से प्रभावित हो सकता है, और जब रिज़ॉल्वर के सेंटिनल समर्थन की पुष्टि नहीं की जा सकती, तो परिणाम अनिर्णायक होता है, न कि कुंजी के अनुपस्थित होने का प्रमाण। KSK-2024 अपनी पूर्ववर्ती कुंजी जैसे ही RSA/SHA-256 एल्गोरिदम का उपयोग करती है, और यह प्रक्रिया अक्टूबर के बाद भी जारी रहेगी: पोस्ट के अनुसार, 2027 में ICANN का इरादा पुरानी कुंजी को निरस्त (revoke) करने, उसे रूट ज़ोन से हटाने और उसकी निजी कुंजी को मिटाने का है।