Ключ корня DNS сменили 11 октября: что делает старый резолвер в пересозданном контейнере

Значимый прорыв формирует отрасль ИИ: opium 20 минут назад Краткое содержание статьи Ключ корня DNS сменили 11 октября: что делает старый резолвер в пересозданном контейнере 6 мин 443 Сетевые технологии * Серверное администрирование * DevOps * Аналитика С 14:00 UTC 11 октября 2026 года корневая зона DNS подписывает свой набор ключей только новым ключом KSK-2024 (key tag 38696). Старый KSK-2017 (20326) ещё лежит в зоне, но подписей им больше нет. Джефф Хастон из APNIC по своим замерам пишет, что смена прошла без заметного сбоя.

За четыре дня до неё Эфраин Гарай проверил пакеты и образы и среди прочего показал, что BIND 9. 50 из Debian 11, в поставке которого есть только старый ключ, при первом запуске сам начинает доверять новому. Через 20 дней после смены я запустил тот же BIND с нуля, с пустым каталогом состояния, как запускается пересозданный контейнер.

Технические детали

Он отвечает SERVFAIL на всё, включая неподписанный google. Для unbound новый якорь при таком старте получает unbound-anchor из Debian 12, если ему открыт HTTPS к data. Если HTTPS закрыт, он пишет файл со старым ключом и выходит с кодом 0.

dnsmasq из Debian 12 со своим файлом якорей отказывает на всём, а с якорями, где есть 38696, работает. Такие якоря ему подставляет сервисная обёртка дистрибутива, а контейнер с голым dnsmasq её обходит. Что изменилось 11 октябряУ валидирующего резолвера есть якорь доверия: ключ корня (или его хеш DS), с которого начинается проверка любой цепочки подписей.

В корне сейчас опубликованы два ключа подписи ключей и один ключ подписи зоны. Набор DNSKEY подписан только 38696. Это видно одним запросом к живому корню, я сохранил вывод 30 октября:DNSKEY flags=257 tag=38696 DNSKEY flags=256 tag=8763 DNSKEY flags=257 tag=20326 RRSIG(DNSKEY) covered=dnskey keytag=38696 Резолвер, который знает только 20326, получает оба ключа, но подпись набора проверить не может.

Отраслевые последствия

Поэтому первый пункт чек-листа BI. ZONE на Хабре, «в dig DNSKEY . должен быть 38696», сам по себе мало что говорит: с флагом +cd или через невалидирующий пересыльщик этот набор придёт и тому, кто 38696 не доверяет.

Надёжнее следующий пункт того же чек-листа: флаг ad в ответе на подписанное имя. Автообновление якорей по RFC 5011 работает у резолвера, который хранит состояние на диске и прожил с новым ключом в наборе не меньше 30 дней. Сам RFC прямо пишет, что начальную настройку он не решает.

Контейнер без volume при каждом пересоздании начинает с якоря из образа, и всё решается тем, что лежит в этом образе. Какие выпуски и образы несут только старый ключ, подробно разобрал Гарай: 21 выпуск дистрибутивов, 11 образов, прошивки OpenWrt, плюс вахта из десяти резолверов через саму смену. Повторять его таблицу я не стал.

Событие, по словам экспертов, усилит конкуренцию в сфере ИИ.