Permutation de la clé racine DNS prévue le 11 octobre : la préparation requise pour les résolveurs

La racine du système de noms de domaine (DNS) d'Internet doit basculer vers sa nouvelle clé de signature de clé (KSK) le 11 octobre 2026, marquant la deuxième permutation de clé racine de l'histoire du DNSSEC. Ce changement remplace KSK-2017 (étiquette de clé 20326) par KSK-2024 (étiquette de clé 38696). Les résolveurs DNS effectuant la validation qui n'auront pas intégré la clé de remplacement d'ici le 11 octobre échoueront lors de la vérification des signatures cryptographiques, rendant inaccessibles des sites web parfaitement fonctionnels dans les domaines de premier niveau concernés.

Ancres de confiance et découverte automatique des clés

La validation DNSSEC s'appuie sur une chaîne de confiance qui débute dans la zone racine. Comme la racine ne possède pas de zone parente pour vérifier ses identifiants, les résolveurs s'appuient sur des ancres de confiance préconfigurées. Selon la norme RFC 5011, les résolveurs découvrent automatiquement les clés de remplacement lorsqu'elles sont publiées dans l'ensemble DNSKEY de la racine. KSK-2024 est présente dans la zone racine depuis le 11 janvier 2025. Pour accepter automatiquement une nouvelle clé, un résolveur doit l'observer et la vérifier de façon cryptographique continue pendant au moins 30 jours. Néanmoins, l'expérience a montré que des mises à jour logicielles ou des migrations de serveurs peuvent effacer l'état des clés apprises ; des fournisseurs comme Cloudflare ont donc intégré KSK-2024 directement dans les versions de leurs logiciels aux côtés de KSK-2017 dès juillet 2024.

Vérification de la préparation grâce aux sentinelles RFC 8509

Afin de vérifier si un résolveur en amont fait confiance à la future clé, les opérateurs peuvent s'appuyer sur le mécanisme de sentinelle d'ancre de confiance défini par la RFC 8509. Ce protocole transmet des requêtes DNS spécialement formatées, telles que is-ta-38696 et not-ta-38696, pour tester la prise en charge par le résolveur. Un résolveur effectuant la validation qui fait confiance à KSK-2024 renvoie des enregistrements d'adresse DNS classiques pour la requête de confiance et retourne délibérément un statut SERVFAIL pour la requête non approuvée. Cloudflare a activé la prise en charge de la RFC 8509 dans 1.1.1.1 et Gateway DNS afin d'aider les administrateurs et les utilisateurs à tester leurs chemins de résolution avant la transition.

Conservation des algorithmes et évolutions cryptographiques futures

La permutation d'octobre 2026 met à jour la paire de clés de signature tout en conservant l'algorithme RSA/SHA-256 existant. Après ce basculement, l'ICANN prévoit de révoquer KSK-2017, de la retirer de la zone racine et d'en détruire la clé privée au cours de l'année 2027. Parmi les évolutions ultérieures à l'étude figurent la transition de la racine vers des signatures ECDSA P-256 plus légères, puis l'adoption finale d'ancres de confiance post-quantiques comme ML-DSA-44. Réaliser régulièrement des permutations de clés garantit que les opérateurs maîtrisent la mise à jour de leurs ancres de confiance avant de procéder à la transition vers des algorithmes de nouvelle génération.

Illustration éditoriale générée par IA ; ce n’est pas une photographie documentaire.

Source: The keys to the Internet change on October 11. Are you ready?