Internet cambió su llave maestra: qué es la rotación de la KSK y quién podría quedarse sin conexión

El domingo 11 de octubre internet cambió una de sus piezas más críticas y menos conocidas. La zona raíz del sistema de nombres de dominio (DNS) empezó a firmarse solo con una nueva Llave de Firma de Llaves, la KSK-2024. ICANN, la organización que coordina los nombres y direcciones de internet, la describe como el ancla criptográfica que asegura el sistema de direcciones de la red.

Qué es y para qué sirve

Cada vez que alguien escribe una dirección web, un servidor llamado resolvedor traduce ese nombre a una dirección numérica. Con DNSSEC, esa respuesta viene firmada para comprobar que es auténtica y que nadie la alteró en el camino. Toda esa cadena de confianza parte de la KSK de la raíz. Si un resolvedor que valida DNSSEC no reconoce la llave, no puede comprobar las firmas y deja de resolver dominios.

Quién podría tener problemas

El riesgo está en los resolvedores con validación DNSSEC que no tengan la nueva llave en su configuración. ICANN advierte que en esos casos puede haber fallas totales de resolución, es decir, usuarios sin acceso a internet aunque su conexión funcione. La buena noticia es que más de 95% de los resolvedores que reportan su configuración ya adoptaron KSK-2024, un ritmo casi idéntico al de la rotación de 2018.

Para los administradores de red, ICANN recomienda verificar a mano que la etiqueta 38696 esté en el archivo de anclas de confianza (bind.keys en BIND, root.key en Unbound y PowerDNS Recursor, root.keys en Knot Resolver), confirmar que las actualizaciones automáticas estén activas y que el resolvedor tenga permiso de escritura en su carpeta de llaves.

Una operación que casi nunca pasa

Es apenas la segunda rotación desde que la raíz se firmó con DNSSEC en 2010. La primera estaba prevista para 2017, se pospuso un año porque muchos operadores no estaban listos y se hizo en octubre de 2018. La nueva llave se generó en 2024, tras un cambio de los módulos de seguridad de hardware, y se publicó en la zona raíz en enero de 2025 para dar tiempo a que los sistemas la aprendieran.

Lo que importa para las empresas

Para la mayoría de los usuarios el cambio pasará sin que lo noten. Para empresas, universidades y proveedores de internet que operan sus propios resolvedores, es un buen momento para revisar la configuración: una falla aquí no se ve como un problema de seguridad, sino como "se cayó el internet".