L’11 ottobre 2026 Internet affronterà un passaggio tecnico poco visibile agli utenti ma fondamentale per la sicurezza della rete globale. È infatti previsto il cambio della chiave di firma principale della root DNS, nota come Key-Signing Key (KSK), un evento che si verifica solo per la seconda volta nella storia.
La KSK rappresenta il punto di partenza della catena di fiducia di DNSSEC, il sistema che permette di verificare l’autenticità delle informazioni DNS e protegge gli utenti da manipolazioni e reindirizzamenti fraudolenti. In sostanza, consente ai resolver DNS di accertarsi che gli indirizzi dei siti web ricevuti siano realmente quelli corretti.
La nuova chiave, denominata KSK-2024 e identificata dal tag 38696, sostituirà l’attuale KSK-2017. Per evitare problemi, i resolver che eseguono la validazione DNSSEC devono riconoscere e considerare affidabile la nuova chiave prima della data del passaggio. In caso contrario, potrebbero rifiutare risposte perfettamente valide e rendere irraggiungibili siti web che in realtà funzionano regolarmente.
La nuova chiave è stata pubblicata già nel gennaio 2025 proprio per consentire ai sistemi di acquisirla con largo anticipo attraverso i meccanismi automatici previsti dagli standard Internet. Tuttavia l’esperienza del primo rollover del 2018 ha mostrato che aggiornamenti software e migrazioni di infrastrutture possono talvolta causare la perdita delle informazioni di fiducia memorizzate dai resolver.
Per questo Cloudflare ha introdotto un sistema di verifica pubblica che permette agli amministratori di controllare se i propri resolver siano pronti al cambiamento. Il test sfrutta il protocollo RFC 8509, che consente di interrogare direttamente un resolver e verificare se riconosce la nuova chiave. Il rollover non modifica l’algoritmo crittografico utilizzato, che resta RSA/SHA-256, ma rappresenta un’importante esercitazione in vista di future transizioni verso tecnologie più moderne e persino verso la crittografia resistente ai computer quantistici.
Se tutto procederà come previsto, miliardi di utenti non si accorgeranno di nulla. Ed è proprio questo il segno che l’operazione sarà riuscita.
