DNSルートの鍵署名鍵（KSK）は10月11日、KSK-2024へ切り替わる予定だ。Cloudflareが10月6日に詳細を公開した。KSKはDNSSECの信頼の起点で、リゾルバはこれでルートの公開鍵一覧を検証し、そこから各トップレベルドメインへ署名の鎖をつなぐ。新しい鍵のキータグは38696で、2018年10月から署名してきたKSK-2017（キータグ20326）に代わり、ルートのDNSKEYセットへ署名する。検証リゾルバが新しい鍵を信頼していないと、どのトップレベルドメインのサイトでも到達できなくなる可能性がある。
一般のWebサイト運営者に作業はない。CloudflareでドメインのDNSをホストしている場合や、1.1.1.1とGateway DNSを使っている場合も、同社のシステムはすでにKSK-2024を信頼している。確認が要るのは自前のDNSSEC検証リゾルバだ。KSK-2024は2025年1月11日からルートのDNSKEYに掲載され、RFC 5011に沿うリゾルバは30日以上の観測を経て自動で信頼する。ただし2018年の初回切り替えでは、ソフトウェア更新やマシン移行で学習済みの信頼が消えた例があった。自動更新を過信せず、信頼アンカーを確認する。
アルゴリズムは従来と同じRSA/SHA-256で、鍵ペアだけが替わる。ECDSA P-256へのアルゴリズム変更は別提案で、今回の切り替えには含まれず、耐量子の方式でもない。KSK-2017の失効、ゾーンからの削除、秘密鍵の破棄は2027年に入ってからICANNが計画している。署名を止めることと、信頼を外すことは別の段階だ。手元の経路はhttps://dnstest.dev/ksk-2024で確認できる。ブラウザのSecure DNSやVPNが参照先を変える点には注意する。RFC 8509のセンチネルに対応しないリゾルバでは、結果が不確定でも鍵の欠落を意味しない。