Интернет-корпорация по присвоению имен и номеров (ICANN) объявила сегодня, что 11 октября 2026 года она заменит якорь доверия в системе доменных имен (DNS). Это изменение называется «ротацией ключей» (ролловером) и рассматривается как важный шаг для поддержания долгосрочной безопасности, стабильности и отказоустойчивости DNS.
Официальное название якоря доверия — ключ подписи ключа корневой зоны (KSK) расширений безопасности DNS (DNSSEC). Этот ключ шифрования лежит в основе системы доверия DNSSEC и используется для проверки того, что ответы DNS не были подделаны во время передачи, помогая гарантировать, что пользователи Интернета получают подлинные и надежные данные DNS при доступе к веб-сайтам и онлайн-сервисам. В результате ротации существующий ключ будет заменен новым ключом KSK, чтобы обеспечить надежную защиту шифрования глобальной системы DNS.
ICANN управляет корневой зоной DNS через свою функцию IANA и координирует ротацию якорей доверия в партнерстве с глобальным интернет-сообществом. ICANN заявила, что выпустит новый KSK полностью заранее, чтобы у соответствующих операторов было достаточно времени для обновления системы и проверки правильности функционирования механизма автоматического обновления якоря доверия, тем самым сводя к минимуму риск нарушения работы сетевых служб. Ким Дэвис, вице-президент службы IANA при ICANN и президент по общедоступным техническим идентификаторам (PTI), назвал эту ротацию якоря доверия «тщательно скоординированным процессом, который помогает защитить целостность DNS» и напомнил операторам программного обеспечения DNS перед ротацией убедиться, что система правильно настроена для доверия новым ключам. ICANN подчеркнула, что большинство обычных пользователей Интернета не ощутят существенных изменений в ежедневном использовании, но для операторов программного обеспечения разрешения DNS крайне важно заранее завершить техническую подготовку.
Согласно графику, объявленному ICANN, эта ротация будет осуществляться поэтапно, начиная с 2024 года и продолжаясь до конца 2027 года. В течение этого периода ключи KSK текущего и следующего поколения будут действовать одновременно, оставляя достаточное время перехода для различных рекурсивных анализаторов. Эти рекурсивные преобразователи обычно используются интернет-провайдерами, предприятиями и другими организациями и отвечают за запрос и проверку информации DNS от имени конечных пользователей. Согласно плану, новый ключ KSK начнет подписывать корневую зону в октябре 2026 года, а старый ключ будет официально упразднен в январе 2027 года. В ICANN отметили, что такая схема перехода направлена на то, чтобы операторы разных размеров и с разными техническими условиями могли завершить адаптацию в установленные сроки, чтобы избежать крупномасштабных сбоев в разрешении.
ICANN особо напоминает операторам рекурсивных преобразователей с возможностями проверки, особенно тем, которые все еще используют настраиваемые вручную якоря доверия или используют старые версии программного обеспечения, о необходимости как можно скорее провести всестороннюю проверку своих систем и подтвердить, что они готовы к такой ротации. ICANN предупредила, что если соответствующие системы не смогут вовремя обновить якоря доверия, после даты ротации может произойти сбой разрешения DNS, в результате чего пользователи не смогут получить доступ к некоторым веб-сайтам или онлайн-сервисам. Чтобы снизить вышеуказанные риски, операторам рекомендуется протестировать механизм автоматического обновления якоря доверия или, при необходимости, вручную импортировать новый ключ KSK, чтобы убедиться, что все важные шаги выполнены до активации нового ключа.
Для получения дополнительной информации об обновлении ключа KSK, включая инструкции по эксплуатации и технические ресурсы, ICANN создала на своем официальном веб-сайте специальную страницу «Информационная страница обновления ключа KSK ICANN», на которой представлены подробные инструкции и вспомогательные материалы для глобального сообщества операторов DNS. ICANN призывает операторов сетевой инфраструктуры всех типов активно обращать внимание на последние объявления, участвовать в сотрудничестве с сообществом и сотрудничать для завершения этого ключевого проекта, который считается «следующим крупным обновлением безопасности Интернета».