DNS raiz troca a chave KSK: o que conferir no resolvedor

O que aconteceu

A IANA anunciou que, em 11 de outubro de 2026, a zona raiz do DNS começou a ser assinada por uma nova chave de assinatura de chaves, a KSK-2024. Ela substitui a KSK-2017, que estava em uso desde a primeira troca, em 2018. A ICANN, que opera a chave, informou que não observou sinais de interrupção generalizada depois da troca.

A KSK é a chave que fica no topo da cadeia do DNSSEC. Ela assina o conjunto de chaves da raiz (o registro DNSKEY). Todo resolvedor que valida DNSSEC precisa ter, guardada na configuração, uma cópia confiável dela. Essa cópia se chama âncora de confiança (trust anchor).

Por que o erro derruba tudo, e não só alguns nomes

Num resolvedor validador, a resposta só é considerada boa se a cadeia de assinaturas fecha até uma âncora conhecida. A raiz é o primeiro elo. Se o resolvedor não reconhece a chave que agora assina o DNSKEY da raiz, ele marca a raiz como inválida. Daí para baixo, nada valida.

O efeito prático é um resolvedor que responde SERVFAIL para qualquer consulta, inclusive para domínios sem DNSSEC. Para quem está na ponta, parece que "a internet caiu", embora os enlaces estejam funcionando. Por isso vale conferir agora, mesmo que nenhum cliente tenha reclamado: alguns resolvedores só refazem a validação da raiz quando o cache expira.

Quanto tempo houve para a atualização automática

O mecanismo que atualiza a âncora sozinho é descrito na RFC 5011. Quando uma chave nova aparece assinada pela chave antiga, o resolvedor espera um prazo de segurança antes de confiar nela. Esse prazo é de 30 dias.

Ou seja, qualquer resolvedor com a RFC 5011 ligada e rodando de forma contínua teve tempo de sobra para aprender a KSK-2024. Quem pode ter ficado para trás:

• resolvedor instalado ou restaurado de imagem antiga, com âncora fixa no arquivo de configuração;
• equipamento que guarda a âncora em área somente leitura e perde a atualização a cada reinício;
• contêiner que sobe sempre a partir da mesma imagem, sem volume persistente para o arquivo de âncoras;
• aparelho embarcado (firewall, roteador, appliance) que valida DNSSEC com uma lista de âncoras gravada no firmware.

A ICANN relatou que a adoção da KSK-2024 passou de 95% entre os resolvedores que reportam quais chaves conhecem. Os que não reportam ficam fora dessa conta, e é justamente aí que costumam estar os casos acima.

Como conferir, por software

A ICANN recomenda não supor que a atualização automática funcionou. O teste é simples: a key tag 38696 precisa aparecer entre as âncoras da raiz. Os arquivos citados pela ICANN em cada software:

Alguns comandos ajudam no dia a dia:

• BIND: rndc managed-keys status lista as âncoras gerenciadas e o estado de cada uma.
• Unbound: unbound-anchor -a <arquivo root.key> atualiza o arquivo a partir da raiz; depois, confira o conteúdo.
• Teste de ponta a ponta: dig @<seu-resolvedor> . SOA +dnssec deve voltar com a flag ad (dado autenticado). Se voltar SERVFAIL, investigue a âncora antes de tudo.

Para a linha de comando, dig . DNSKEY +multi mostra as chaves publicadas na raiz com o key id em comentário. Durante esta fase, as duas KSKs aparecem: a de 2017 e a de 2024.

O que vem depois

A troca tem mais duas etapas. Segundo a IANA, a KSK-2017 será revogada em janeiro de 2027: ela continua publicada, mas com um bit que avisa aos resolvedores que não deve mais ser usada. Em março de 2027, ela sai da raiz.

Hoje, 14 de outubro de 2026, já se passaram 3 dias desde a troca. Se o seu resolvedor está respondendo normalmente, ele provavelmente tem a chave certa. Mesmo assim, faça a conferência e anote o resultado no procedimento de mudança. Na revogação de janeiro, quem tiver só a chave antiga terá um segundo problema, e o diagnóstico é o mesmo.

Roteiro rápido para provedores e empresas

1. Liste todos os resolvedores que validam DNSSEC, inclusive os embutidos em firewalls e roteadores.
2. Em cada um, procure a key tag 38696 entre as âncoras da raiz.
3. Rode a consulta de teste com +dnssec e confirme a flag ad.
4. Verifique se o arquivo de âncoras sobrevive a reinício e a reimplantação de contêiner.
5. Agende uma nova conferência para janeiro de 2027, quando a KSK-2017 for revogada.

Perguntas frequentes

Meu resolvedor não valida DNSSEC. Preciso fazer algo?

Não para esta troca. Sem validação, o resolvedor não usa âncora de confiança. Mas os clientes dele também não têm a proteção do DNSSEC.

Desligar a validação resolve um SERVFAIL causado pela âncora?

Resolve o sintoma e cria outro problema: o resolvedor deixa de detectar respostas falsificadas. O caminho certo é instalar a âncora nova, seguindo a orientação do fabricante do software.

A chave nova muda o algoritmo de assinatura?

Esta foi uma troca de chave. A troca de algoritmo da KSK é outro processo, que a ICANN colocou em consulta pública em 2026. Quando houver cronograma, ele terá suas próprias etapas e uma nova rodada de conferência.