Este artículo describe un evento de mantenimiento crítico y preventivo, no un incidente post-mortem. El "incidente" potencial que se previene es una falla masiva de resolución de DNSSEC a nivel global debido a la falta de actualización de los trust anchors en los resolvers. La causa raíz de incidentes pasados similares (como los rollovers .de y .al) y el KSK rollover de 2018 fue la incapacidad de los resolvers para retener o adquirir el nuevo trust anchor, a menudo debido a actualizaciones de software o migraciones de máquinas que borraban el estado de confianza aprendido automáticamente.
La principal salvaguarda para este tipo de evento es el mecanismo de RFC 5011, que permite a los resolvers aprender automáticamente el nuevo KSK. Sin embargo, la experiencia previa ha demostrado que este mecanismo puede fallar en la práctica debido a la pérdida de estado. La solución de Cloudflare para sus propios resolvers es incluir el nuevo KSK-2024 directamente en el software, evitando la dependencia del aprendizaje automático y la retención de estado.
La innovación clave para este rollover es la implementación de RFC 8509, el "root key trust anchor sentinel". Este protocolo permite a los usuarios y operadores verificar proactivamente si un resolver DNSSEC confía en una clave raíz específica antes de que ocurra el rollover. Esto aborda una deficiencia crítica identificada en el rollover de 2018: la falta de una forma práctica para que los usuarios verificaran la preparación de sus resolvers. Sin esta verificación, un fallo podría manifestarse como sitios web inalcanzables para millones de usuarios, a pesar de que los sitios web funcionen correctamente.