Η ρίζα του DNS πέρασε σε νέο κλειδί υπογραφής στις…

Η ρίζα του συστήματος ονομάτων του internet άρχισε να χρησιμοποιεί νέο κλειδί υπογραφής στις 11 Οκτωβρίου 2026, όπως ανακοίνωσε επίσημα η IANA. Το νέο Key Signing Key, γνωστό ως KSK-2024, αναγνωρίζεται από τον αριθμό 38696. Η αλλαγή αποτελεί προγραμματισμένο βήμα συντήρησης του DNSSEC και δεν παρουσιάζεται ως αντίδραση σε κάποια νέα επίθεση.

Το DNS επιτρέπει στις εφαρμογές να εντοπίζουν υπηρεσίες χρησιμοποιώντας ονόματα αντί για αριθμητικές διευθύνσεις. Το DNSSEC προσθέτει έλεγχο ψηφιακών υπογραφών στις απαντήσεις. Στη ρίζα αυτής της αλυσίδας εμπιστοσύνης βρίσκεται το KSK: υπογράφει το σύνολο των δημόσιων κλειδιών της ριζικής ζώνης, ώστε οι διακομιστές που κάνουν επικύρωση να μπορούν να ελέγχουν τα επόμενα στάδια.

Για τους περισσότερους χρήστες δεν αναμένεται διακοπή, σύμφωνα με την IANA. Ωστόσο, ένας DNS resolver που εφαρμόζει DNSSEC και δεν έχει ενημερωθεί ώστε να εμπιστεύεται το νέο κλειδί μπορεί να αποτυγχάνει στην επικύρωση. Η Cloudflare εξηγεί ότι σε μια τέτοια περίπτωση μια ιστοσελίδα μπορεί να λειτουργεί κανονικά στον server της, αλλά να μην είναι προσβάσιμη στους χρήστες του συγκεκριμένου resolver. Η δυσλειτουργία βρίσκεται τότε στον έλεγχο DNS και χρειάζεται διαφορετική διάγνωση από μια βλάβη φιλοξενίας.

Η μετάβαση είχε προετοιμαστεί αρκετά νωρίτερα. Η IANA καταγράφει ότι το KSK-2024 δημοσιεύτηκε στη ριζική ζώνη στις 11 Ιανουαρίου 2025. Αυτό έδωσε χρόνο σε συστήματα αυτόματης ενημέρωσης των trust anchors να αποδεχθούν το νέο κλειδί πριν αναλάβει την υπογραφή. Η υπηρεσία συνιστά στους διαχειριστές να ακολουθούν τις οδηγίες του κατασκευαστή του λογισμικού τους, καθώς οι μηχανισμοί ενημέρωσης διαφέρουν.

Η αλλαγή κλειδιού δεν σημαίνει και αλλαγή κρυπτογραφικού αλγορίθμου. Όπως διευκρινίζει η Cloudflare, τόσο το προηγούμενο KSK-2017 όσο και το KSK-2024 χρησιμοποιούν RSA/SHA-256. Συνεπώς, η συγκεκριμένη μετάβαση δεν είναι από μόνη της αναβάθμιση σε μετακβαντική κρυπτογραφία. Ανανεώνει το σημείο εμπιστοσύνης και δοκιμάζει στην πράξη τη διαδικασία διανομής και αποδοχής νέων κλειδιών.

Το επόμενο σκέλος παραμένει προγραμματισμένο για το 2027. Η IANA αναφέρει ανάκληση του KSK-2017 στις 11 Ιανουαρίου και αφαίρεσή του από τη ριζική ζώνη στις 22 Μαρτίου. Η παύση χρήσης του για υπογραφή και η οριστική απόσυρσή του είναι διαφορετικά στάδια, κάτι που εξηγεί γιατί το rollover δεν ολοκληρώνεται ως μία μοναδική ενέργεια.

Για μια επιχείρηση που διαχειρίζεται δικό της DNS resolver, το πρακτικό ζητούμενο είναι η επιβεβαίωση ότι το νέο trust anchor έχει γίνει αποδεκτό. Για έναν ιδιοκτήτη ιστοσελίδας, η είδηση υπενθυμίζει ότι η προσβασιμότητα εξαρτάται και από την υποδομή ονοματοδοσίας. Η επίσημη ανακοίνωση επιβεβαιώνει την ενεργοποίηση του νέου κλειδιού, χωρίς να τεκμηριώνει γενικευμένη διακοπή του internet.

Ενδεικτική εικονογράφηση AI· δεν αποτελεί πραγματική φωτογραφία εγκατάστασης DNS.

Πηγή: IANA — επίσημη ανακοίνωση της 11/10/2026, IANA — trust anchors και χρονοδιάγραμμα μετάβασης, Cloudflare — τεχνική εξήγηση της αλλαγής.