De Internet Corporation for Assigned Names and Numbers (ICANN) heeft vandaag aangekondigd dat zij op 11 oktober 2026 het vertrouwensanker van het Domain Name System (DNS) zal vervangen. Deze wijziging wordt een ‘sleutelrotatie’ (rollover) genoemd en wordt beschouwd als een belangrijke stap om de veiligheid, stabiliteit en veerkracht van het DNS op de lange termijn te behouden.
De officiële naam van het vertrouwensanker is de DNS Security Extensions (DNSSEC) rootzone key signature key (KSK). Deze encryptiesleutel vormt de kern van het DNSSEC-vertrouwenssysteem en wordt gebruikt om te verifiëren dat er niet met DNS-reacties is geknoeid tijdens de verzending, waardoor internetgebruikers authentieke en betrouwbare DNS-gegevens ontvangen bij toegang tot websites en online diensten. Deze rotatie zal de bestaande sleutel vervangen door een nieuwe KSK om een sterke encryptiebeveiliging voor het wereldwijde DNS-systeem te blijven behouden.
ICANN beheert de DNS-rootzone via zijn IANA-functie en coördineert deze trust anchor-rotatie in samenwerking met de wereldwijde internetgemeenschap. ICANN verklaarde de nieuwe KSK volledig vooraf vrij te geven, zodat relevante operators voldoende tijd hebben om het systeem te updaten en te controleren of het automatische trust anchor-updatemechanisme goed functioneert, waardoor het risico op verstoring van netwerkdiensten wordt geminimaliseerd. Kim Davies, vice-president van IANA Services onder ICANN en president van Public Technical Identifiers (PTI), noemde deze rotatie van het vertrouwensanker "een zorgvuldig gecoördineerd proces dat de integriteit van de DNS helpt beschermen" en herinnerde DNS-software-operators eraan om te bevestigen dat het systeem correct is geconfigureerd om de nieuwe sleutels te vertrouwen vóór rotatie. ICANN benadrukte dat de meeste gewone internetgebruikers geen significante veranderingen zullen ervaren in het dagelijks gebruik, maar dat het voor exploitanten van DNS-resolutiesoftware van cruciaal belang is om vooraf de technische voorbereidingen te voltooien.
Volgens het door ICANN aangekondigde schema zal deze rotatie gefaseerd worden geïmplementeerd, beginnend in 2024 en doorlopend tot eind 2027. Gedurende deze periode zullen de huidige en de volgende generatie KSK gelijktijdig geldig blijven, waardoor er voldoende overgangstijd overblijft voor verschillende recursieve parsers. Deze recursieve solvers worden doorgaans beheerd door internetproviders, bedrijven en andere organisaties en zijn verantwoordelijk voor het opvragen en valideren van DNS-informatie namens eindgebruikers. Volgens het plan zal de nieuwe KSK in oktober 2026 beginnen met het ondertekenen van de rootzone, en zal de oude sleutel officieel buiten gebruik worden gesteld in januari 2027. ICANN wees erop dat dit transitieontwerp tot doel heeft ervoor te zorgen dat operators van verschillende groottes en verschillende technische omstandigheden de aanpassing binnen het vastgestelde venster kunnen voltooien om grootschalige resolutiefouten te voorkomen.
ICANN herinnert operators specifiek aan recursieve solvers met validatiemogelijkheden, vooral degenen die nog steeds handmatig geconfigureerde trust anchors gebruiken of oudere softwareversies draaien, om zo snel mogelijk een uitgebreide beoordeling van hun systemen uit te voeren om te bevestigen dat ze klaar zijn voor deze rotatie. ICANN waarschuwde dat als de relevante systemen er niet in slagen om de trust anchors op tijd bij te werken, er na de rotatiedatum een DNS-resolutiefout kan optreden, waardoor gebruikers geen toegang meer hebben tot sommige websites of online diensten. Om de bovenstaande risico's te beperken, wordt operators geadviseerd om hun automatische updatemechanisme voor het vertrouwensanker te testen of, indien nodig, de nieuwe KSK handmatig te importeren om ervoor te zorgen dat alle kritieke stappen zijn voltooid voordat de nieuwe sleutel wordt ingeschakeld.
Voor meer informatie over deze KSK-rollover, inclusief operationele richtlijnen en technische bronnen, heeft ICANN een speciale pagina "ICANN KSK Rollover Information Page" op haar officiële website opgezet om gedetailleerde instructies en ondersteunend materiaal te bieden aan de wereldwijde DNS-operatiegemeenschap. ICANN roept alle soorten netwerkinfrastructuurbeheerders op om actief aandacht te besteden aan de laatste aankondigingen, deel te nemen aan samenwerking met de gemeenschap en samen te werken om dit belangrijke project te voltooien dat wordt beschouwd als "de volgende grote internetbeveiligingsupdate".