DNS
Der Schlüsselwechsel der Root-Zone ist ohne größere bekannte Störungen angelaufen
Seit dem 11. Oktober signiert der neue Schlüssel KSK-2024 die Root-Zone des DNS. IANA hat den Wechsel am selben Tag bestätigt. Größere Störungen sind bisher nicht öffentlich bekannt. Resolver dürfen die alte Schlüsselliste allerdings bis zu zwei Tage zwischenspeichern. Fehler bei nicht aktualisierten Systemen können deshalb verzögert auftreten.
Der neue Key Signing Key trägt den Key Tag 38696 und ersetzt den bisherigen Schlüssel. Die meisten Nutzer sollen nach Angaben von IANA nichts davon merken. Resolver, die den neuen Schlüssel nicht kennen, könnten jedoch an der DNSSEC-Prüfung scheitern. Domain Brief hatte im August über die Vorbereitung berichtet.
Der alte Schlüssel steht noch in der Liste
Eine Abfrage von Domain Brief am Montagmorgen bestätigt den Wechsel. Die Schlüsselliste der Root-Zone trägt nun die Signatur von KSK-2024. Sie gilt ab dem 11. Oktober um 0 Uhr UTC. Der alte KSK-2017 mit dem Key Tag 20326 steht weiter in der Liste, signiert sie aber nicht mehr. Die öffentlichen Resolver von Google und Cloudflare haben die Antworten erfolgreich geprüft. Google lieferte dabei noch die ältere, von KSK-2017 signierte Fassung aus dem Zwischenspeicher.
Auf der Mailingliste dns-operations von DNS-OARC tauschen sich Betreiber über Störungen aus. Dort ist bis Dienstagmorgen keine Meldung zum Schlüsselwechsel eingegangen.
Einzelne Probleme gibt es dennoch. Im Zimbra-Forum berichtete ein Administrator am 12. Oktober über Ausfälle. Betroffen seien Server mit Ubuntu 22.04 oder älter, die DNSSEC prüfen. Signierte Domains hätten sich dort seit Sonntag nicht mehr auflösen lassen, E-Mails seien liegen geblieben. Im ASUS-Forum meldete ein Nutzer, dass die Firmware seines Routers nur den alten Schlüssel kenne. Bei eingeschalteter Prüfung schlage die Namensauflösung fehl.
2018 gab es nur wenige Probleme
Der KSK der Root-Zone wurde erst einmal zuvor gewechselt, am 11. Oktober 2018. ICANN meldete damals vier Tage später nur geringe Störungen. Die wenigen Probleme seien schnell behoben worden. Der alte Schlüssel KSK-2010 wurde 2019 widerrufen.
Der nächste Wechsel ist bereits geplant. Dann soll sich auch das Signaturverfahren ändern. ICANN hatte dazu im Februar einen Vorschlag zur Diskussion gestellt und will ihn unverändert umsetzen. Danach soll 2027 ein neuer Schlüssel mittels ECDSA generiert werden. Der bisherige RSA-Schlüssel soll 2029 auslaufen.