Ndërrimi i çelësit rrënjë DNSSEC është planifikuar për tetor 2026

Ndërrimi i çelësit rrënjë DNSSEC, i planifikuar për 11 tetor 2026, është një datë që çdo organizatë që përdor një DNS resolver me validim duhet ta ketë në kalendarin e ndryshimeve. DNSSEC, shkurt për Domain Name System Security Extensions, është sistemi që i lejon një DNS resolver të kontrollojë nëse një përgjigje DNS është autentike dhe nuk është manipuluar. Ai nuk e enkripton trafikun DNS, por ndihmon që të dhënat e falsifikuara DNS të mos pranohen si të vërteta.

Ndryshimi lidhet me key-signing key, ose KSK, për zonën rrënjë të internetit. Në DNS, zona rrënjë qëndron në krye të sistemit të emërtimit dhe ndihmon në drejtimin e kërkesave drejt domeneve si .org, .com dhe domenet me kod shteti. Për zonat e nënshkruara me DNSSEC, zakonisht përfshihen dy çelësa. Një zone-signing key, ose ZSK, nënshkruan grupet e regjistrave DNS brenda zonës. Një key-signing key nënshkruan grupin e regjistrave DNSKEY, që është grupi i publikuar i çelësave DNSSEC për atë zonë.

Arsyeja pse root KSK ka rëndësi është zinxhiri i besimit në DNSSEC. Një server DNS me validim nis nga një trust anchor, që do të thotë një çelës publik i konfiguruar qëllimisht si i besuar. Ky trust anchor normalisht përputhet me një regjistër DNSKEY ose DS për zonën ku zbatohet, zakonisht zonën rrënjë. KSK-të janë çelësat që përdoren si trust anchors. Nëse root KSK ndryshon dhe një resolver me validim nuk di për çelësin e ri, validimi mund të dështojë për zonat e nënshkruara pas ndërrimit.

ICANN është një nga organizatat e përfshira në krijimin dhe përdorimin e root KSK, dhe procesi përfshin disa individë nga pjesë të ndryshme të komunitetit teknik. Çelësi rrënjë trajtohet përmes një procesi formal, të hapur dhe të audituar në mënyrë të pavarur, të njohur si Key Signing Ceremony. Pjesëmarrësit ofrojnë komponentë të ndryshëm të nevojshëm për të hyrë te KSK, si çelësa ose karta inteligjente. ICANN ka publikuar më shumë informacion mbi sfondin e ceremonive të nënshkrimit të çelësave DNSSEC.

Ndërrimi i vitit 2026 është përgatitur shumë kohë më parë. Sipas Infoblox, root KSK i ri u krijua në prill 2024, u publikua për herë të parë nga ICANN në korrik 2024 dhe u shtua në zonën rrënjë më 11 janar 2025. Kjo e vendosi atë në zonën rrënjë 21 muaj përpara ndërrimit të 11 tetorit 2026. Qëllimi praktik është i thjeshtë: resolver-at me validim duhet t’i kenë të vendosur si trust anchors të dy çelësat, të vjetrin dhe të riun, përpara se çelësi i vjetër të ndalojë nënshkrimin.

Çfarë duhet të bëjnë administratorët varet nga platforma DNS që përdorin. Infoblox deklaron se nuk nevojitet asnjë veprim për Infoblox Threat Defense, sepse çelësat bazë për shërbimin e tij rekursiv DNS menaxhohen nga Infoblox. Për Infoblox Universal DDI, Infoblox thotë se në përgjithësi menaxhon root trust anchors për klientët, përveç rasteve kur administratorët kanë konfiguruar manualisht root trust anchors. Paketat e konfigurimit të krijuara pas korrikut 2026 do ta përfshijnë automatikisht çelësin e ri, ndaj administratorët duhet të konfirmojnë se një paketë e re konfigurimi është aplikuar në pajisjet on-premises përpara tetorit. Infoblox gjithashtu thotë se pret të jetë në gjendje të shtyjë me detyrim përditësime konfigurimi për të shtuar çelësat në shtator.

Për instalimet NIOS që kryejnë validim DNSSEC, Infoblox përshkruan dy mënyra për të shtuar trust anchor-in e ri përpara 11 tetorit. Administratorët mund të aplikojnë hotfix-in NIOS të synuar për përditësimin e trust anchor-it, i disponueshëm përmes bazës së njohurive të Infoblox, ose mund ta shtojnë manualisht trust anchor-in e ri. Infoblox vëren se ndryshimi kërkon rinisje të shërbimit DNS, ndaj duhet të ndiqen procedurat normale të kontrollit të ndryshimeve.

Për një përditësim manual në NIOS, Infoblox këshillon marrjen e root trust anchors nga IANA, në vend që të kopjohen nga një burim tjetër. Etiketa e çelësit të ri, e quajtur ndonjëherë key id, është 38696. Etiketa e çelësit të vjetër KSK-2017 është 20326. Administratorët mund ta shohin etiketën e çelësit duke pyetur regjistrat root DNSKEY me komandën dig . dnskey +multiline. Informacioni i IANA për trust anchor është vendi autoritativ për të marrë root trust anchors.

Në NIOS, puna kryhet në Grid Manager nën Data Management, DNS, pastaj Grid DNS Properties. Nëse DNSSEC nuk është i dukshëm në listën në të majtë, administratorët duhet të aktivizojnë Advanced Mode dhe më pas të zgjedhin DNSSEC. Në seksionin DNSSEC, nëse Enable DNSSEC dhe Enable DNSSEC validation janë të dyja të shënuara, duhet të ketë një hyrje trust-anchor për zonën “.”, e cila përfaqëson zonën rrënjë. Nëse nuk listohen trust anchors, resolver-i aktualisht nuk po bën validim, sepse validimi ka nevojë për të paktën një trust anchor. Një administrator që dëshiron të nisë validimin do të duhet të shtojë të dy trust anchors.

Kur shtohet trust anchor-i i ri, Infoblox thotë se zona duhet të jetë “.”, Secure Entry Point duhet të jetë i shënuar, Responses Must Be Secure nuk duhet të jetë i shënuar, algoritmi duhet të jetë RSA/SHA-256 (8), dhe çelësi i ri publik duhet të futet në fushën Public Key. Paralajmërimi për Responses Must Be Secure është i rëndësishëm: nëse ai është i shënuar, kërkesat për zona që nuk janë të nënshkruara do të dështojnë, dhe interneti nuk është plotësisht gati për atë cilësim. Pas ruajtjes së ndryshimit dhe rinisjes së shërbimeve, administratorët mund të testojnë një domen të nënshkruar dhe të kontrollojnë që flamuri “ad” të shfaqet në daljen e dig, për shembull duke pyetur www.ietf.org me +dnssec. Infoblox thotë se një konfigurim i gabuar do të shfaqej si përgjigje SERVFAIL për atë kërkesë dhe për kërkesa të tjera për zona të nënshkruara.

Ka gjithashtu punë pastrimi pas ndërrimit. Infoblox thotë se KSK-2017 do të ndalojë nënshkrimin e zonës rrënjë në tetor, është planifikuar të shënohet si i revokuar në janar 2027 dhe do të hiqet nga zona rrënjë pas kësaj. Çdo ndryshim në atë plan do të shpallet në faqen e ICANN për ndërrimin e KSK. Nëse ndërrimi ka sukses, Infoblox thotë se administratorët e NIOS duhet ta heqin trust anchor-in KSK-2017 midis nëntorit dhe janarit për të shmangur harxhimin e burimeve të serverit DNS për një çelës të skaduar. Ai identifikon 10 karakteret e para të KSK-2017 si AwEAAaz/tA, gjë që mund t’i ndihmojë administratorët të shmangin fshirjen e çelësit të gabuar.

Ky nuk do të jetë aktiviteti i fundit i këtij lloji. Infoblox thotë se ICANN po synon përafërsisht një ritëm ndërrimi çdo tre vjet, çka do ta bënte ndërrimin e radhës të mundshëm në vitin 2029. Ai gjithashtu vëren se një propozim i komunitetit po kalon nëpër një proces për të kaluar nga RSA-SHA256, algoritmi 8, në ECDSA P-256 me SHA-256, algoritmi 13. Nëse ICANN vazhdon me atë ndryshim algoritmi, ai mund të përputhet me një dritare të ardhshme të ndërrimit të KSK.

Për pronarët e faqeve të internetit dhe përdoruesit e përditshëm, mësimi kryesor është të dinë kush e përdor DNS resolver-in ku mbështeteni dhe nëse ata e mirëmbajnë saktë validimin DNSSEC. Për lexuesit që zgjedhin një resolver në vend që ta përdorin vetë një të tillë, AEU DNS është një DNS privat dhe i sigurt për të gjithë, gjë që është e rëndësishme sepse resolver-i është pika ku kërkohen dhe kontrollohen përgjigjet DNS. Administratorët që përdorin resolver-at e tyre me validim duhet ta trajtojnë ndërrimin e tetorit 2026 si mirëmbajtje të planifikuar, jo si emergjencë, dhe ta vendosin trust anchor-in e ri përpara afatit.