DNSSEC root key rollover përfundon me sukses pavarësisht pengesave lokale

DNSSEC root key rollover përfundoi pa ndonjë ndërprerje të madhe globale, sipas matjeve të raportuara nga APNIC pas ndryshimit të 11 tetorit 2026. DNS Security Extensions (DNSSEC) i mundësojnë një resolver të kontrollojë që përgjigjet DNS janë autentike dhe nuk janë ndryshuar. Rrjeti i matjeve i APNIC, i bazuar në reklama, zbuloi se përqindja globale e përdoruesve të matur që mbështeteshin vetëm te shërbime resolver me validim DNSSEC u rrit nga 39.7% para rollover në 40.6% pas tij.

Ndryshimi filloi në orën 14:00 UTC më 11 tetor. Ai zëvendësoi root Key Signing Key (KSK), një kredencial kriptografik që përdoret për të verifikuar records e nënshkruara të DNS root. root zone ndodhet në nivelin më të lartë të Domain Name System dhe i drejton shërbimet resolver te serverët përgjegjës për domain poshtë saj. Një resolver është shërbimi që kërkon adresën e internetit të lidhur me një emër domain.

Përpara ndryshimit, shërbimet resolver që kryenin validim duhej t'i besonin KSK në largim. Pas rifreskimit të DNSKEY resource record të ruajtur lokalisht në cache, i cili përmban informacionin publik të përdorur për verifikimin DNSSEC, ato duhej t'i besonin key hyrës. Këto records të ruajtura në cache mund të mbeteshin të vlefshme për dy ditë, ndaj periudha e kalimit vazhdoi deri në orën 14:00 UTC më 13 tetor. Një resolver që nuk e kishte pranuar key e re mund të dështonte në kontrollet DNSSEC, duke bërë potencialisht që domain të nënshkruara siç duhet të dukeshin të padisponueshme për përdoruesit e tij.

APNIC shqyrtoi të dhënat nga 16 ditët e para të tetorit. Numri ditor i matjeve mbeti brenda intervalit të tij normal të luhatjeve gjatë rollover. Megjithëse rezultati global ishte pozitiv, mesataret kombëtare zbuluan rezultate të kundërta në Brazil dhe Indi, ku shumë përdorues mbështeten te shërbime recursive resolver me validim DNSSEC, të ofruara nga ofruesit e shërbimit të internetit. Një recursive resolver kryen vargun e kërkimeve DNS që nevojiten për të marrë një përgjigje për përdoruesin.

APNIC kontaktoi një ISP të madh indian më 9 tetor, pasi sinjali KSK Sentinel tregoi se shërbimet e tij resolver nuk kishin krijuar besim lokal te key hyrës dhe kishte të ngjarë të dështonin pas rollover. KSK Sentinel është një mekanizëm matjeje që përdoret për të përcaktuar nëse një resolver i beson një root key të caktuar. ISP ndërhyri përpara ndryshimit dhe norma e matur e validimit DNSSEC mes përdoruesve indianë u rrit nga 55% në 59%. APNIC nuk arriti të kontaktonte ofruesit ISP brazilianë që shfaqnin të njëjtin paralajmërim gjatë asaj periudhe dhe norma e matur e Brazilit ra nga 54% në 50%.

Matjet e mëparshme kishin identifikuar 50 rrjete me normat më të ulëta të pranimit për KSK-2024. Secili kishte prodhuar të paktën 1,000 teste që tregonin mbështetje për KSK Sentinel, ndërsa më pak se gjysma e matjeve të tij pranonin key hyrës. Të dhënat pasuese deri më 18 tetor dhanë një rezultat të papritur: asnjë prej këtyre rrjeteve nuk mbeti prapa. Të 50 rrjetet e shtuan KSK-2024 në trusted key sets të tyre midis 7 dhe 13 tetorit dhe secili regjistroi më pas një normë pranimi mbi 50%.

APNIC krahasoi gjithashtu normën e validimit të secilit rrjet pas rollover me mesataren e tij gjatë 10 ditëve të para të tetorit. Dataset përfshinte 13,538 rrjete me një mesatare prej të paktën 20 mostrash ditore si në periudhën para, ashtu edhe në atë pas ndryshimit. Validimi u rrit me më shumë se 50% në 35 rrjete. APNIC tha se një shpjegim i mundshëm ishte se shërbimet e tyre resolver i besonin key hyrës, por jo key që ishte në përdorim. Në total, 594 rrjete regjistruan një rritje prej të paktën 10%. Në drejtimin e kundërt, 58 rrjete humbën 50% ose më shumë të normës së tyre të validimit, ndërsa 660 patën një rënie prej të paktën 10%.

Numri i vlerësuar i përdoruesve pas shërbimeve resolver me validim DNSSEC u rrit nga 1,654,477,399 para rollover në 1,700,275,794 pas tij, nga një popullsi totale e vlerësuar prej 4,308,517,174 përdoruesish. APNIC e përshkroi këtë si një rritje neto prej 45.8 milionë përdoruesish me validim.

India regjistroi rritjen më të madhe të vlerësuar, duke kaluar nga 321,679,249 në 367,102,609 përdorues me validim DNSSEC, një rritje prej 45,423,360 nga një popullsi totale përdoruesish prej 655,274,727. Rritje të tjera të vlerësuara ishin në Vietnam, 9,157,450; Algjeri, 3,266,261; Marok, 2,360,854; Kazakistan, 950,982; Sllovaki, 664,669; Iran, 558,706; Tajlandë, 282,420; Sri Lanka, 263,373; dhe Lituani, 208,987. Popullsitë e tyre përkatëse me validim pas rollover ishin 32,490,227, 10,692,147, 26,111,432, 7,417,541, 1,767,006, 16,548,704, 29,149,702, 1,870,630 dhe 838,531.

Brazili pati rënien më të madhe të vlerësuar, duke zbritur nga 80,503,978 në 72,723,712 përdorues me validim, një humbje prej 7,780,266 nga një popullsi totale përdoruesish prej 162,001,400. Rëniet e tjera më të mëdha të vlerësuara ishin në Federatën Ruse, 3,078,946; Kinë, 1,756,584; Shtetet e Bashkuara, 906,565; Bullgari, 760,869; Bangladesh, 610,974; Japoni, 609,093; Ugandë, 329,937; Pakistan, 312,472; dhe Egjipt, 300,999. Popullsitë e tyre përkatëse me validim pas rollover ishin 17,668,816, 4,955,581, 98,812,775, 1,002,739, 30,315,215, 15,785,216, 8,834,481, 37,347,439 dhe 47,290,182.

Këto shifra nuk nënkuptojnë se çdo kalim lokal ishte pa probleme. DNS është shumë i shpërndarë dhe koordinohet vetëm në mënyrë të lirshme, ndaj sjellja e resolver ndryshon natyrshëm nga një rrjet në tjetrin. Megjithatë, APNIC arriti në përfundimin se rollover i tetorit 2026 ishte i suksesshëm kur vlerësohej në shkallën e internetit. Matjet e tij tregojnë të dyja anët e këtij rezultati: asnjë ndërprerje të madhe në mbarë botën, por humbje domethënëse në disa rrjete dhe ekonomi që nuk arritën ta ruanin validimin në nivelet e mëparshme.

Për lexuesit që zgjedhin një alternativë ndaj resolver të parazgjedhur të ISP, AEU DNS ofron DNS privat dhe të sigurt për të gjithë. Autenticiteti DNSSEC dhe privatësia DNS janë çështje të lidhura, por të dallueshme, ndaj përdoruesit dhe ekipet IT duhet të kontrollojnë se çfarë mbështet resolver i zgjedhur prej tyre dhe si e mirëmban informacionin e vet të root trust.