מפתח השורש של ה-DNS מתחלף ב-11 באוקטובר: מי צריך לבדוק משהו, ואיך
שורש ה-DNS עובר למפתח חתימה חדש, KSK-2024, בפעם השנייה בלבד בהיסטוריה. רוב האתרים והגולשים לא ירגישו כלום, אבל ארגונים עם שרתי DNS משלהם עלולים לאבד גישה לכל האינטרנט.
TL;DR בקצרה
- ב-11 באוקטובר 2026 עובר שורש ה-DNS לחתום רק במפתח KSK-2024 (מזהה 38696).
- שרת DNS שמאמת חתימות ולא מכיר את המפתח החדש לא יצליח לפענח שום כתובת.
- לפי ICANN, יותר מ-95% מהשרתים המדווחים כבר אימצו את המפתח החדש.
- Cloudflare פרסמה כלי בדיקה, ומשתמשי 1.1.1.1 ולקוחות ה-DNS שלה לא צריכים לעשות דבר.
ב-11 באוקטובר 2026 נקבעה החלפת מפתח החתימה של שורש ה-DNS (Root KSK). זה המפתח שעליו נשען כל מנגנון האבטחה DNSSEC. זו רק הפעם השנייה בהיסטוריה שמחליפים אותו.
Cloudflare פרסמה ב-6 באוקטובר מדריך מוכנות וכלי בדיקה. רוב בעלי האתרים והגולשים לא צריכים לעשות דבר. אבל ארגונים שמפעילים שרתי DNS משלהם עלולים לגלות שהרשת שלהם לא מצליחה לפתוח אף אתר. זה קורה גם כשהאתרים עצמם עובדים כרגיל.
מה זה בכלל מפתח השורש של ה-DNS
DNS הוא ספר הטלפונים של האינטרנט: הוא מתרגם שם כמו example.com לכתובת IP. DNSSEC מוסיף לו חתימות דיגיטליות, כדי ששרת DNS יוכל לוודא שהתשובה שקיבל לא זויפה בדרך. החתימות בנויות כשרשרת: כל סיומת חתומה על ידי השורש, וכל דומיין על ידי הסיומת שלו. לשורש אין מעליו אף אחד שיכול לערוב לו. לכן שרתי DNS שמאמתים חתימות (validating resolvers) מחזיקים עותק מקומי של מפתח השורש. את העותק הזה מכנים trust anchor, עוגן אמון.
המפתח KSK-2024 (מזהה 38696) מחליף את המפתח הנוכחי, KSK-2017 (מזהה 20326). האלגוריתם נשאר RSA/SHA-256, ורק זוג המפתחות משתנה. המפתח החדש מופיע באזור השורש כבר מ-11 בינואר 2025, לצד הישן. ב-11 באוקטובר 2026 השורש מתחיל לחתום רק בו.
ICANN מתכננת לבטל ולמחוק את המפתח הישן במהלך 2027. ההחלפה הראשונה התבצעה ב-2018. לפי Cloudflare, ICANN מייחסת את הפער הארוך מאז למגפה ולשדרוג החומרה ששומרת על המפתחות הפרטיים.
מה יכול להשתבש בשרתי DNS
שרת שמאמת חתימות ולא סומך על המפתח החדש לא יצליח לאמת את השורש. המשתמשים שלו עלולים לא להגיע לאתרים בשום סיומת. ICANN מזהירה במפורש מ״כשל מוחלט בפענוח DNS״ ברשת כזו.
זו תקלה מבלבלת במיוחד. האתרים תקינים, ומרשתות אחרות הם נפתחים. רק בארגון שלכם שום דבר לא עובד.
רוב השרתים אמורים ללמוד את המפתח החדש לבד, לפי התקן RFC 5011. הם רואים אותו מתפרסם, ממתינים לפחות 30 יום, מאמתים שוב ואז מאמצים אותו. לפי ICANN, מעל 95% מהשרתים שמדווחים כבר אימצו את KSK-2024. זה נתון דומה להחלפה של 2018.
הסיכון הוא בשאר. בהחלפה הקודמת, לפי Cloudflare, חלק מהשרתים איבדו את המפתח שלמדו. זה קרה בזמן שדרוג של התוכנה או מעבר למכונה אחרת. לכן ICANN ממליצה לבדוק ידנית, ולא להניח שהעדכון האוטומטי עבד.
מי לא צריך לדאוג
לפי Cloudflare, רוב מפעילי האתרים לא צריכים לשנות דבר. ההחלפה קשורה לשרתים שמאמתים חתימות, ולא לאתרים עצמם. גם גולשים ביתיים שמשתמשים בשרת ה-DNS של ספק גדול תלויים בעיקר בכך שהספק התכונן. מי שצריך לבדוק הם מנהלי רשתות בארגונים, בחברות אירוח ובספקיות. אלה מנהלים שמריצים שרת DNS פנימי עם אימות DNSSEC פעיל. הבדיקה חשובה במיוחד למי ששדרגו או העבירו את השרת למכונה אחרת מאז 2025.
מה זה אומר עבורכם
- משתמשים ב-1.1.1.1 או ב-DNS של Cloudflare? לפי Cloudflare, משתמשי 1.1.1.1, לקוחות ה-DNS שלה ומשתמשי Gateway לא צריכים לעשות דבר. המפתח החדש כבר מוכר אצלה.
- מפעילים שרת DNS בעצמכם? ודאו שהמזהה 38696 מופיע בקובץ עוגן האמון. ב-BIND שמו bind.keys. ב-Unbound וב-PowerDNS Recursor שמו root.key. ב-Knot Resolver שמו root.keys.
- אם המפתח חסר: בדקו שעדכון אוטומטי של עוגן האמון פעיל. בדקו גם שלשרת יש הרשאת כתיבה לתיקיית האחסון שלו. אפשר גם לעדכן לפי הוראות יצרן התוכנה.
- בדיקה מהירה: הכלי dnstest.dev/ksk-2024 של Cloudflare בודק את השרת שהדפדפן שלכם משתמש בו. מנהלי מערכת יכולים להריץ שאילתת sentinel לפי RFC 8509. הכתובת
root-key-sentinel-is-ta-38696.dnstest.devאמורה להחזיר תשובה תקינה כשהמפתח מוכר. תוצאה לא חד-משמעית לא אומרת שהמפתח חסר. - תקלת גלישה ״מסתורית״ אחרי 11 באוקטובר? אם אתרים נפתחים מהסלולר אבל לא מהרשת המשרדית, בדקו תחילה את שרת ה-DNS הפנימי. בדקו גם את עוגן האמון שלו.
מה הלאה
אחרי המעבר ICANN תבטל את המפתח הישן ותסיר אותו מאזור השורש במהלך 2027. לפי Cloudflare, IANA רואה בשלוש שנים מחזור אידיאלי להחלפת המפתח. זה הרבה פחות משמונה השנים שעברו מאז ההחלפה הקודמת.
Cloudflare מציינת שהיא כבר בודקת ב-1.1.1.1 חתימות מסוג ML-DSA-44. זה אלגוריתם שמיועד לעמוד גם מול מחשבים קוונטיים. זה סימן לכך שמנגנון החתימות של ה-DNS ימשיך להשתנות.
מקורות והרחבה
- The keys to the Internet change on October 11, 2026. Are you ready?Cloudflare
- Preparing for the Root Zone KSK Rollover: What You Need to KnowICANN
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
