Sự kiện thay đổi khóa gốc (KSK Rollover) của Internet vào ngày 11/10: Bạn đã sẵn sàng chưa?

Vào ngày 11/10/2026, hệ thống DNS root sẽ thực hiện một bước ngoặt quan trọng: thay đổi khóa ký khóa (Key Signing Key – KSK). Đây mới chỉ là lần thứ hai sự kiện này diễn ra trong lịch sử Internet. KSK đóng vai trò là mỏ neo cho chuỗi tin cậy của DNSSEC, cho phép các DNS resolver xác thực phản hồi thông qua chữ ký mật mã. Việc chuyển đổi này, được gọi là KSK rollover, đòi hỏi các validating resolver phải tin tưởng khóa mới trước thời điểm chuyển đổi, nếu không, các trang web có thể trở nên không thể truy cập được.

Tại sao KSK rollover lại quan trọng?

DNSSEC giúp các resolver kiểm tra chữ ký số trên bản ghi DNS để đảm bảo tính xác thực. Chuỗi tin cậy này bắt đầu từ DNS root. Vì root không có “cha” để xác nhận khóa, các resolver phải bắt đầu với một khóa công khai gốc (trust anchor) mà chúng đã tin tưởng từ trước. KSK chịu trách nhiệm ký vào danh sách các khóa công khai do root xuất bản (bản ghi DNSKEY). Nếu một resolver không tin tưởng khóa mới, người dùng có thể gặp lỗi không thể truy cập bất kỳ trang web nào thuộc các tên miền cấp cao nhất (TLD).

Bạn có cần thực hiện hành động gì không?

Hầu hết các nhà vận hành trang web không cần thực hiện thay đổi nào. Tuy nhiên, nếu bạn đang vận hành một DNSSEC-validating resolver, hãy kiểm tra xem hệ thống đã tin tưởng khóa mới KSK-2024 (key tag 38696) hay chưa. Nếu bạn sử dụng dịch vụ DNS của Cloudflare hoặc 1.1.1.1, bạn hoàn toàn yên tâm vì hệ thống của Cloudflare đã cập nhật và tin tưởng KSK-2024.

Cách kiểm tra sự sẵn sàng

Để kiểm tra trước thời hạn, bạn có thể truy cập công cụ kiểm tra của Cloudflare tại dnstest.dev. Công cụ này sử dụng giao thức RFC 8509 (Root Key Trust Anchor Sentinel) để truy vấn xem resolver mà trình duyệt của bạn đang sử dụng có tin tưởng khóa mới hay không.

Tương lai của DNSSEC

Mặc dù lần rollover này vẫn sử dụng thuật toán RSA/SHA-256, việc thực hiện định kỳ giúp các nhà vận hành kiểm tra quy trình phân phối trust anchor và cập nhật resolver. Trong tương lai, ICANN dự kiến sẽ chuyển đổi sang thuật toán ECDSA P-256 và xa hơn nữa là các thuật toán hậu lượng tử (post-quantum cryptography). Các đợt rollover hiện tại chính là bước đệm cần thiết để đảm bảo hạ tầng Internet có thể thích nghi với những thay đổi bảo mật phức tạp hơn sau này.

Nếu bạn là nhà cung cấp dịch vụ DNS hoặc nhà phát triển resolver, hãy đảm bảo rằng hệ thống của bạn hỗ trợ RFC 8509 để người dùng có thể chủ động kiểm tra trạng thái bảo mật của mình.

Nguồn tham khảo: Cloudflare Blog