Kořenová zóna DNS používá od 11. října nový podpisový klíč KSK-2024

Kořenová zóna DNS v neděli 11. října 2026 přešla na nový podpisový klíč. IANA to oznámila o den později: klíč s označením 38696, zvaný KSK-2024, nahradil předchozí klíč KSK-2017 s označením 20326. Podle ICANN se kořenový klíč mění teprve podruhé v historii, poprvé to bylo v říjnu 2018.

Na tom klíči stojí celý DNSSEC, tedy podepisování záznamů DNS. Resolver, který podpisy ověřuje a nový klíč mezi důvěryhodné nepřidal, přestane po výměně odpovídat na dotazy na jakoukoli doménu. ICANN ve svém průvodci výměnou píše, že problémy čekají jen velmi malý podíl uživatelů.

Proč na jednom klíči visí celý DNSSEC

Kořen DNS má dva druhy klíčů. Klíč pro podpis zóny (ZSK) podepisuje vlastní záznamy kořene, mimo jiné odkazy na domény nejvyšší úrovně jako .com nebo .cz. Mění se pravidelně, nový se podle ICANN zveřejňuje každé tři měsíce. Klíč pro podpis klíčů (KSK) podepisuje jen sadu klíčů kořenové zóny a žije mnohem déle.

Doména nad kořenem už není, takže KSK nemá kdo potvrdit. Resolver ho proto musí mít uložený předem jako takzvanou kotvu důvěry. Od ní ověří sadu klíčů kořene, z ní ZSK, tím podpisy u .cz a tak dál až ke konkrétní doméně. Když resolver kotvu pro nový KSK nemá, řetěz se mu přetrhne hned na začátku.

Nový klíč visel v kořeni rok a tři čtvrtě

KSK-2024 vznikl v roce 2024. V souboru kotev důvěry na webu IANA stojí s platností od 18. července 2024, do kořenové zóny ho IANA vložila 11. ledna 2025. Průvodce ICANN to počítá jako zhruba 21 měsíců předstihu, delší než u výměny v roce 2018.

Resolvery si nový klíč můžou osvojit samy podle RFC 5011. Starý klíč nový podepíše a resolver ho bere za důvěryhodný, když ho v kořeni vidí nejméně třicet dní. Druhá cesta je aktualizace softwaru: Cloudflare podle svého blogu přidal KSK-2024 přímo do vestavěných kotev resolveru 1.1.1.1 už v červenci 2024. Důvod uvádí z první výměny: resolvery tehdy při upgradu nebo přesunu na jiný stroj naučený klíč zapomínaly.

Jak výměna postupuje, je vidět na kořenových serverech. Resolvery, které umějí RFC 8145, posílají kořeni zprávu, kterým klíčům věří. Verisign, jeden z dvanácti provozovatelů kořenových serverů, v březnu 2025 napočítal 91,3 % takových resolverů s KSK-2024, ICANN v červencovém blogu přes 95 %. Obě čísla se týkají jen resolverů, které se samy hlásí, ne všech.

Co uvidí resolver, který nový klíč nemá

Výpadek nepřijde hned. Sada klíčů kořene má dobu platnosti v mezipaměti 48 hodin, takže resolver se starou kopií ověřuje dál, dokud si nestáhne novou. U resolveru s mnoha uživateli to bude krátce po vypršení, u resolveru jediného počítače klidně o dny později. Průvodce ICANN proto píše, že kdy přesně výpadek nastane, se předpovědět nedá.

Pak přestanou fungovat jména všech domén. V prohlížeči se stránka nenačte nebo zůstane bez obrázků, pošta nepřijde. Kdo má nastavených víc resolverů a jeden z nich je připravený, zaznamená nanejvýš zpomalení. ICANN zvlášť upozorňuje na kontejnery a aplikace s DNS přes HTTPS, které si resolver nesou v konfiguraci z doby sestavení a nastavení systému je nezajímá.

Náprava je podle průvodce dvojí. Rychlá je dočasně vypnout ověřování nebo nastavit pro kořen takzvanou zápornou kotvu důvěry podle RFC 7646. Skutečná je doplnit KSK-2024 mezi kotvy a ověřování zase zapnout. Kořenové servery podle ICANN po výměně uvidí víc dotazů na sadu klíčů kořene a na záznam DS domény .net, protože nepřipravené resolvery se budou ptát pořád dokola.

Co jsme naměřili den po výměně

V pondělí 12. října jsme se na sadu klíčů kořene zeptali dvou veřejných resolverů přes DNS přes HTTPS, Google Public DNS a 1.1.1.1. Oba vrátily tři klíče, dva KSK a jeden ZSK, a jediný podpis sady s označením 38696, platný od 11. října 00:00 do 1. listopadu 00:00 UTC. Oba odpověď označily jako ověřenou, takže novému klíči věří.

Na prvním dotazu bylo vidět, co dělá doba platnosti v mezipaměti. Google Public DNS krátce před polednem vrátil ještě starou sadu se čtyřmi klíči a s podpisem od KSK-2017, platným do 22. října; opakovaný dotaz o několik minut později už nesl novou sadu. Veřejný resolver téhle velikosti běží na mnoha strojích a každý si drží vlastní mezipaměť, takže podle nás rozhoduje, na který z nich dotaz dopadne.

Starý KSK-2017 v sadě zatím zůstává, jen už nic nepodepisuje. Verisign čeká jeho odvolání začátkem roku 2027. Předchozí klíč KSK-2010 má v souboru kotev IANA platnost do 11. ledna 2019.

Vyzkoušeli jsme i test podle RFC 8509, který Cloudflare pro výměnu nasadil. Resolver na speciálně pojmenovaný dotaz odpoví podle toho, jestli klíči 38696 věří, nebo vrátí chybu. 1.1.1.1 odpověděl přesně podle tabulky v blogu Cloudflare. Google odpověděl na obě otázky, tedy i na tu, která má u připraveného resolveru skončit chybou. Takhle se chová resolver, který tenhle test nepodporuje, a nic to neříká o tom, jestli klíči věří.

Příští výměna změní i algoritmus

KSK-2017 i KSK-2024 jsou klíče RSA o délce 2048 bitů s hashem SHA-256. Podle průvodce ICANN má další výměna skončit odhadem v roce 2029 a poprvé změní i algoritmus, na ECDSA. ICANN ji popisuje jako samostatnou událost s vlastním plánem. Plán z roku 2019 počítá s výměnou kořenového klíče každé tři roky a ta letošní je první, která se podle něj řídí.

Zdroje

• IANA: DNS Root Zone Begins Using New Key Signing Key
• ICANN: What to Expect During the Root KSK Rollover (27. 7. 2026)
• ICANN: Preparing for the Root Zone KSK Rollover
• IANA: soubor kotev důvěry kořenové zóny
• Cloudflare: The keys to the Internet change on October 11
• Verisign: The 2024–2026 Root Zone KSK Rollover
• Vlastní měření přes dns.google a cloudflare-dns.com, 12. 10. 2026