Смена корневого ключа DNS: 11 октября и список отстающих провайдеров

11 октября 2026 года произойдёт редкое для системы доменных имён событие — смена корневого ключа DNSSEC. Главный научный сотрудник APNIC Джефф Хастон в обновлении своей майской заметки объясняет, почему это непросто, и приводит список сетей, рискующих столкнуться с неприятностями.

Почему корневой ключ особенный

Любой ключ в DNSSEC обычно удостоверяется родительским: подпись над ним ставит ключ вышестоящей зоны. У корневого ключа (KSK) родителя нет. Единственный способ удостоверить новый ключ — подписать его старым: «старый подписывает новый». После этого требуется выдержать паузу, чтобы валидирующие резолверы успели увидеть и начать доверять новому ключу. RFC 5011 предписывает выждать не менее 30 дней, в течение которых новый ключ должен непрерывно наблюдаться, прежде чем резолвер примет его в свой набор доверенных.

Речь не о смене алгоритма, а лишь о замене пары ключей. Новый ключ, названный KSK-2024 (по году генерации), опубликован на сайте IANA в июле 2024 года и добавлен в запись DNSKEY корневой зоны в январе 2025-го. С 11 октября именно он будет использоваться для подписи.

Как измеряют готовность

Хастон описывает два метода. Первый, по RFC 8145, встраивает в запросы к корневым серверам метки доверенных ключей — операторы корневых серверов видят это в своих логах. По данным Verisign за июль, около 90% резолверов уже добавили KSK-2024. Но этот показатель не отражает число пользователей за каждым резолвером.

Второй метод — «страж» по RFC 8509: специальные имена заставляют резолвер сообщить, доверяет ли он конкретному ключу, возвращая либо обычный ответ, либо SERVFAIL. С помощью рекламной измерительной системы APNIC этот сигнал собирают примерно с 16 млн запросов в сутки. Из них около 6 млн приходят из-за валидирующих резолверов, а 1,8 млн дают чёткий сигнал стража. Адаптация KSK-2024 среди них составляет около 70%.

Небольшой прогон на зондах RIPE Atlas 5 октября дал более оптимистичную картину: из сетей в 2900 автономных системах лишь 47 зондов не загрузили новый ключ — доля отказов 3,7%.

Кому грозят проблемы

Средние цифры скрывают резкий разброс, поэтому Хастон публикует список полусотни сетей с худшими показателями доверия к новому ключу (среди тех, где зафиксировано не менее 1000 тестов с поддержкой стража). В списке — операторы со всего мира: Reliance Jio в Индии с огромным числом тестов и долей принятия лишь 2,5%, Vodafone в Чехии, Исландии и Омане, филиппинские Globe Telecom и Converge, иракские провайдеры, Telekom в Азербайджане и десятки других.

Если ваш провайдер в этом перечне, советует автор, стоит проверить настройки через тестовую страницу Cloudflare и попросить оператора привести DNS-резолвер в порядок — иначе после ротации ключа пользователей могут ждать сбои.

Источник: Lobsters