08/10/2026 · VietTechies · Biên tập
Hệ thống tên miền (DNS) gốc của Internet dự kiến sẽ chuyển đổi khóa ký khóa (KSK) hoạt động vào ngày 11/10/2026. Đây mới là lần đổi khóa gốc thứ hai trong lịch sử công nghệ DNSSEC. Thay đổi này sẽ thế chỗ khóa KSK-2017 (nhãn khóa 20326) bằng KSK-2024 (nhãn khóa 38696). Những máy chủ giải mã tên miền (DNS resolver) có tính năng xác thực DNSSEC nếu chưa thiết lập niềm tin cho khóa mới trước ngày 11/10 sẽ thất bại trong quá trình kiểm tra chữ ký mã hóa, dẫn đến nguy cơ người dùng không thể truy cập các website hoàn toàn bình thường thuộc những tên miền cấp cao liên quan.
Mỏ neo tin cậy và cơ chế tự động phát hiện khóa
Quá trình xác thực DNSSEC dựa trên một chuỗi tin cậy khởi đầu từ vùng gốc (root zone). Do vùng gốc không có vùng cha để xác minh danh tính, các máy chủ giải mã tên miền xác thực buộc phải dựa vào các mỏ neo tin cậy (trust anchor) được cấu hình sẵn. Theo tiêu chuẩn RFC 5011, các resolver có thể tự động phát hiện khóa thay thế khi khóa này xuất hiện trong tập bản ghi DNSKEY của vùng gốc. Khóa KSK-2024 đã được công bố tại vùng gốc từ ngày 11/01/2025. Để tự động chấp nhận khóa mới, resolver cần theo dõi và xác thực mã hóa liên tục khóa đó trong ít nhất 30 ngày. Dù vậy, thực tế từ các lần triển khai trước cho thấy quá trình cập nhật phần mềm hoặc chuyển đổi máy chủ có thể làm mất trạng thái khóa đã ghi nhớ. Do đó, các nhà cung cấp như Cloudflare đã chủ động tích hợp trực tiếp KSK-2024 cùng KSK-2017 vào các bản đóng gói phần mềm từ tháng 07/2024.
Kiểm tra mức độ sẵn sàng bằng cơ chế RFC 8509
Để kiểm tra xem resolver tuyến trên có tin cậy khóa mới hay không, các nhà quản trị có thể áp dụng cơ chế lính gác mỏ neo tin cậy (sentinel) theo chuẩn RFC 8509. Giao thức này gửi các truy vấn tên miền dạng đặc biệt như is-ta-38696 và not-ta-38696 để kiểm tra khả năng hỗ trợ của resolver. Nếu resolver hỗ trợ xác thực và đã tin tưởng KSK-2024, nó sẽ trả về bản ghi địa chỉ DNS thông thường cho truy vấn kiểm tra độ tin cậy, đồng thời cố tình trả về trạng thái SERVFAIL cho truy vấn không tin cậy. Cloudflare đã bật tính năng hỗ trợ RFC 8509 trên hệ thống 1.1.1.1 và Gateway DNS, giúp các quản trị viên cùng người dùng kiểm tra lộ trình kết nối trước thời điểm chuyển đổi chính thức.
Giữ nguyên thuật toán và các bước mã hóa trong tương lai
Đợt chuyển đổi vào tháng 10/2026 chỉ cập nhật cặp khóa ký mà vẫn giữ nguyên thuật toán mã hóa RSA/SHA-256 hiện tại. Sau khi chuyển đổi thành công, ICANN dự kiến sẽ thu hồi KSK-2017, xóa bỏ khóa này khỏi vùng gốc và hủy khóa riêng tư tương ứng vào năm 2027. Các định hướng tương lai đang được thảo luận bao gồm chuyển đổi vùng gốc sang chữ ký ECDSA P-256 gọn nhẹ hơn, tiến tới triển khai mỏ neo tin cậy kháng toán học lượng tử như ML-DSA-44. Việc thực hiện đổi khóa định kỳ giúp đảm bảo các đơn vị vận hành có đủ năng lực cập nhật mỏ neo tin cậy một cách mượt mà trước khi bước vào giai đoạn chuyển giao sang các thuật toán thế hệ mới.
Ảnh minh họa do AI tạo, không phải ảnh tư liệu.
Nguồn: The keys to the Internet change on October 11. Are you ready?