Gốc DNS đổi khóa ký DNSSEC vào ngày 11 tháng 10: những điều nhà vận hành trình phân giải cần kiểm tra

Vùng gốc DNS dự kiến sẽ chuyển sang một khóa ký khóa (KSK) mới vào ngày 11 tháng 10 năm 2026, Cloudflare cho biết trong một bài blog đề ngày 6 tháng 10. Theo bài viết, đây mới chỉ là lần thứ hai gốc DNS thay đổi khóa này. KSK nằm ở đỉnh chuỗi tin cậy của DNSSEC: một trình phân giải xác thực bắt đầu từ một khóa gốc mà nó đã tin cậy sẵn, gọi là điểm neo tin cậy (trust anchor), dùng khóa đó để xác minh danh sách khóa công khai của gốc rồi lần lượt đi xuống từ đó. Khóa mới, KSK-2024 với thẻ khóa (key tag) 38696, thay thế KSK-2017 (key tag 20326) trong việc ký tập DNSKEY của gốc. Cloudflare cảnh báo rằng một trình phân giải không kịp tin cậy khóa thay thế có thể khiến người dùng của nó bị cắt khỏi các trang web thuộc mọi tên miền cấp cao nhất, ngay cả khi các trang đó vẫn hoạt động bình thường.

Cloudflare cho biết phần lớn nhà vận hành trang web không phải thay đổi gì. Việc chuyển đổi khóa này quan trọng với bất kỳ ai vận hành trình phân giải xác thực DNSSEC: họ nên xác nhận rằng trình phân giải tin cậy KSK-2024 và, nếu thiếu khóa này, cập nhật các điểm neo tin cậy theo hướng dẫn của ICANN và chỉ dẫn của nhà cung cấp phần mềm. Theo công ty, các tên miền dùng Cloudflare cho DNS, cũng như người dùng 1.1.1.1 và Gateway DNS, không cần hành động gì, vì hệ thống của công ty đã tin cậy khóa mới. Cloudflare cho biết họ đã thêm KSK-2024 vào các điểm neo tin cậy tích hợp sẵn trong phần mềm trình phân giải của mình vào tháng 7 năm 2024, bên cạnh KSK-2017.

Trình phân giải cũng có thể tự động học một khóa gốc mới theo RFC 5011. Gốc DNS đã mang KSK-2024 song song với khóa hiện tại trong tập DNSKEY của mình kể từ ngày 11 tháng 1 năm 2025, và một trình phân giải dùng cơ chế này chỉ chấp nhận khóa sau khi quan sát nó trong ít nhất 30 ngày và xác minh thêm một lần nữa. Cloudflare nhắc lại rằng trong quá trình chuẩn bị cho lần chuyển đổi khóa đầu tiên vào năm 2018, họ đã thấy các trình phân giải mất sự tin cậy đã học được theo cách này sau khi nâng cấp phần mềm hoặc chuyển sang máy khác, và đó là lý do giờ đây họ phân phối khóa mới kèm theo phần mềm thay vì trông cậy vào việc từng trình phân giải tự lưu giữ khóa.

Để người dùng có thể kiểm tra trước, Cloudflare đã đưa ra một bài kiểm tra mức độ sẵn sàng, hỏi trình phân giải mà trình duyệt đang dùng xem nó có tin cậy khóa mới hay không. Bài kiểm tra dựa trên cơ chế sentinel cho điểm neo tin cậy của khóa gốc theo RFC 8509, mà Cloudflare đã triển khai trên 1.1.1.1: hai truy vấn được đặt tên đặc biệt, is-ta-38696 và not-ta-38696, trả về một câu trả lời bình thường hoặc SERVFAIL tùy theo việc trình phân giải có tin cậy khóa hay không. Cloudflare lưu ý rằng kết quả trên trình duyệt có thể bị ảnh hưởng bởi DNS bảo mật (Secure DNS) hoặc VPN, và khi không thể xác định trình phân giải có hỗ trợ sentinel hay không thì kết quả là chưa thể kết luận, chứ không phải bằng chứng cho thấy thiếu khóa. KSK-2024 dùng cùng thuật toán RSA/SHA-256 như khóa tiền nhiệm, và quá trình này vẫn tiếp tục sau tháng 10: theo bài viết, vào năm 2027 ICANN dự định thu hồi khóa cũ, đưa nó ra khỏi vùng gốc và xóa khóa riêng của nó.