A raiz do DNS muda a sua chave de assinatura DNSSEC a 11 de outubro: o que os operadores de resolvers devem verificar

Está previsto que a zona raiz do DNS passe a usar uma nova chave de assinatura de chaves (KSK) a 11 de outubro de 2026, afirma a Cloudflare numa publicação no seu blogue datada de 6 de outubro. Segundo a publicação, é apenas a segunda vez que a raiz muda esta chave. A KSK situa-se no topo da cadeia de confiança do DNSSEC: um resolver validador parte de uma chave raiz em que já confia, conhecida como âncora de confiança, utiliza-a para verificar a lista de chaves públicas da raiz e, a partir daí, vai descendo. A nova chave, KSK-2024, com a etiqueta de chave 38696, substitui a KSK-2017 (etiqueta de chave 20326) na assinatura do conjunto DNSKEY da raiz. A Cloudflare alerta que um resolver que não passe a confiar a tempo na chave de substituição poderá deixar os seus utilizadores sem acesso a sites de todos os domínios de topo, mesmo quando esses sites estão a funcionar normalmente.

A Cloudflare afirma que a maioria dos operadores de sites web não tem nada a alterar. A renovação da chave diz respeito a quem gere um resolver com validação DNSSEC: deverá confirmar que este confia na KSK-2024 e, caso a chave esteja em falta, atualizar as âncoras de confiança conforme descrito nas orientações da ICANN e nas instruções do fornecedor do seu software. Os domínios que usam a Cloudflare para DNS, bem como os utilizadores do 1.1.1.1 e do Gateway DNS, não precisam de fazer nada, segundo a empresa, porque os seus sistemas já confiam na nova chave. A Cloudflare afirma que adicionou a KSK-2024 às âncoras de confiança integradas no seu software de resolver em julho de 2024, ao lado da KSK-2017.

Os resolvers também podem aprender automaticamente uma nova chave raiz ao abrigo do RFC 5011. A raiz inclui a KSK-2024 ao lado da chave atual no seu conjunto DNSKEY desde 11 de janeiro de 2025, e um resolver que utilize este mecanismo só a aceita depois de a observar durante pelo menos 30 dias e de a verificar mais uma vez. A Cloudflare recorda que, durante a preparação da primeira renovação, em 2018, viu resolvers perderem essa confiança aprendida após atualizações de software ou mudanças para outras máquinas, razão pela qual passou a distribuir a nova chave com o seu software em vez de depender de que cada resolver a conserve.

Para permitir que os utilizadores verifiquem com antecedência, a Cloudflare disponibilizou um teste de preparação que pergunta ao resolver usado pelo navegador se confia na nova chave. O teste baseia-se no sentinela da âncora de confiança da chave raiz definido no RFC 8509, que a Cloudflare implementou no 1.1.1.1: duas consultas com nomes especiais, is-ta-38696 e not-ta-38696, devolvem uma resposta normal ou SERVFAIL consoante o resolver confie ou não na chave. A Cloudflare observa que o resultado no navegador pode ser influenciado pelo DNS seguro ou por uma VPN, e que um resultado é inconclusivo, e não uma prova de que a chave está em falta, quando não é possível determinar se o resolver suporta o sentinela. A KSK-2024 usa o mesmo algoritmo RSA/SHA-256 que a sua antecessora, e o processo continua depois de outubro: em 2027, segundo a publicação, a ICANN tenciona revogar a chave antiga, retirá-la da zona raiz e eliminar a sua chave privada.