Корневая зона DNS 11 октября меняет ключ подписи DNSSEC: что следует проверить операторам резолверов

Корневая зона DNS по графику должна перейти на новый ключ подписи ключей (KSK) 11 октября 2026 года, сообщает Cloudflare в записи в блоге от 6 октября. Согласно публикации, корень меняет этот ключ лишь во второй раз. KSK находится на вершине цепочки доверия DNSSEC: валидирующий резолвер начинает с корневого ключа, которому уже доверяет, — так называемого якоря доверия (trust anchor), — проверяет с его помощью список открытых ключей корня и далее продвигается вниз по иерархии. Новый ключ KSK-2024 с тегом ключа 38696 заменяет KSK-2017 (тег ключа 20326) при подписи набора DNSKEY корневой зоны. Cloudflare предупреждает, что резолвер, который не успеет вовремя начать доверять новому ключу, может отрезать своих пользователей от сайтов во всех доменах верхнего уровня, даже если сами эти сайты работают нормально.

По словам Cloudflare, большинству операторов веб-сайтов ничего менять не нужно. Смена ключа важна для всех, кто эксплуатирует резолвер с проверкой DNSSEC: им следует убедиться, что он доверяет KSK-2024, а если ключ отсутствует, обновить якоря доверия в соответствии с рекомендациями ICANN и инструкциями поставщика своего программного обеспечения. Доменам, использующим Cloudflare для DNS, а также пользователям 1.1.1.1 и Gateway DNS никаких действий не требуется, сообщает компания, поскольку её системы уже доверяют новому ключу. По словам Cloudflare, компания добавила KSK-2024 во встроенные якоря доверия своего программного обеспечения резолвера в июле 2024 года, наряду с KSK-2017.

Резолверы также могут узнавать новый корневой ключ автоматически согласно RFC 5011. Корень содержит KSK-2024 рядом с текущим ключом в своём наборе DNSKEY с 11 января 2025 года, и резолвер, использующий этот механизм, принимает его лишь после того, как наблюдает его не менее 30 дней и ещё раз проверяет. Cloudflare напоминает, что при подготовке к первой смене ключа в 2018 году она видела, как резолверы теряли такое приобретённое доверие после обновления программного обеспечения или переноса на другие машины; именно поэтому теперь компания поставляет новый ключ вместе со своим ПО, а не полагается на то, что каждый резолвер его сохранит.

Чтобы пользователи могли проверить готовность заранее, Cloudflare разместила тест готовности, который спрашивает у используемого браузером резолвера, доверяет ли он новому ключу. Тест основан на механизме sentinel для якоря доверия корневого ключа из RFC 8509, который Cloudflare реализовала в 1.1.1.1: два запроса со специальными именами, is-ta-38696 и not-ta-38696, возвращают либо обычный ответ, либо SERVFAIL — в зависимости от того, доверяет ли резолвер ключу. Cloudflare отмечает, что на результат в браузере могут влиять безопасный DNS (Secure DNS) или VPN и что результат является неоднозначным, а не доказательством отсутствия ключа, если поддержку sentinel у резолвера установить не удаётся. KSK-2024 использует тот же алгоритм RSA/SHA-256, что и его предшественник, а процесс продолжится и после октября: согласно публикации, в 2027 году ICANN намерена отозвать старый ключ, удалить его из корневой зоны и уничтожить его закрытый ключ.