L'Internet Corporation for Assigned Names and Numbers (ICANN) a annoncé aujourd'hui qu'elle remplacerait l'ancre de confiance du système de noms de domaine (DNS) le 11 octobre 2026. Ce changement est appelé « rotation des clés » (rollover) et est considéré comme une étape importante pour maintenir la sécurité, la stabilité et la résilience à long terme du DNS.
Le nom officiel de l’ancre de confiance est la clé de signature de clé de zone racine (KSK) des extensions de sécurité DNS (DNSSEC). Cette clé de cryptage est au cœur du système de confiance DNSSEC et est utilisée pour vérifier que les réponses DNS n'ont pas été falsifiées pendant la transmission, contribuant ainsi à garantir que les utilisateurs Internet reçoivent des données DNS authentiques et fiables lorsqu'ils accèdent à des sites Web et à des services en ligne. Cette rotation remplacera la clé existante par une nouvelle KSK afin de continuer à maintenir une forte protection de sécurité par cryptage pour le système DNS mondial.
L'ICANN gère la zone racine du DNS via sa fonction IANA et coordonne cette rotation des ancres de confiance en partenariat avec la communauté Internet mondiale. L'ICANN a déclaré qu'elle publierait la nouvelle KSK suffisamment à l'avance afin que les opérateurs concernés aient suffisamment de temps pour mettre à jour le système et vérifier si le mécanisme de mise à jour automatique de l'ancre de confiance fonctionne correctement, minimisant ainsi le risque de perturbation des services réseau. Kim Davies, vice-président des services IANA de l'ICANN et président des identifiants techniques publics (PTI), a qualifié cette rotation des ancres de confiance de « processus soigneusement coordonné qui aide à sauvegarder l'intégrité du DNS » et a rappelé aux opérateurs de logiciels DNS de confirmer que le système est correctement configuré pour faire confiance aux nouvelles clés avant la rotation. L'ICANN a souligné que la plupart des utilisateurs d'Internet ordinaires ne connaîtront pas de changements significatifs dans leur utilisation quotidienne, mais qu'il est crucial que les opérateurs de logiciels de résolution DNS terminent les préparatifs techniques à l'avance.
Selon le calendrier annoncé par l'ICANN, cette rotation sera mise en œuvre par phases, commençant en 2024 et se poursuivant jusqu'à la fin de 2027. Pendant cette période, la KSK actuelle et la prochaine génération resteront valides simultanément, laissant un temps de transition suffisant pour les différents analyseurs récursifs. Ces résolveurs récursifs sont généralement exploités par des fournisseurs de services Internet, des entreprises et d'autres organisations et sont chargés d'interroger et de valider les informations DNS au nom des utilisateurs finaux. Selon le plan, la nouvelle KSK commencera à signer la zone racine en octobre 2026 et l'ancienne clé sera officiellement retirée en janvier 2027. L'ICANN a souligné que cette conception de transition vise à garantir que les opérateurs de différentes tailles et de différentes conditions techniques puissent achever l'adaptation dans le délai établi afin d'éviter des échecs de résolution à grande échelle.
L'ICANN rappelle spécifiquement aux opérateurs de résolveurs récursifs dotés de capacités de validation, en particulier ceux qui utilisent encore des ancres de confiance configurées manuellement ou qui exécutent des versions logicielles plus anciennes, de procéder à un examen complet de leurs systèmes dès que possible pour confirmer qu'ils sont prêts pour cette rotation. L'ICANN a averti que si les systèmes concernés ne parviennent pas à mettre à jour les ancres de confiance à temps, un échec de la résolution DNS pourrait survenir après la date de rotation, empêchant les utilisateurs d'accéder à certains sites Web ou services en ligne. Pour atténuer les risques ci-dessus, il est conseillé aux opérateurs de tester leur mécanisme de mise à jour automatique de l'ancre de confiance ou, si nécessaire, d'importer manuellement la nouvelle KSK pour garantir que toutes les étapes critiques sont terminées avant que la nouvelle clé ne soit activée.
Pour plus d'informations sur ce roulement de KSK, y compris les directives opérationnelles et les ressources techniques, l'ICANN a mis en place une page dédiée « Page d'informations sur le roulement de KSK de l'ICANN » sur son site Web officiel pour fournir des instructions détaillées et des documents de support à la communauté mondiale des opérations DNS. L'ICANN appelle tous les types d'opérateurs d'infrastructures réseau à prêter activement attention aux dernières annonces, à participer à la collaboration communautaire et à coopérer pour mener à bien ce projet clé considéré comme « la prochaine mise à jour majeure de la sécurité Internet ».