Кратко

  • Результат APNIC около 70% относится к тестам, которые явно выдали сентинельный сигнал RFC 8509; примерно 90% у Verisign — к резолверам, сообщавшим данные по RFC 8145. Это не две оценки одной и той же совокупности.
  • Корневая зона начала подписываться ключом KSK-2024 11 октября 2026 года. Публичные сведения подтверждают переключение и отсутствие наблюдаемого широкомасштабного сбоя, но не считают все резолверы, уникальных людей или единичные отказы.

Процент без знаменателя меняет смысл

Самое заманчивое прочтение показателей смены ключа одновременно наименее обоснованно: если примерно 70% измеренной группы доверяли новому ключу, то, возможно, оставшиеся 30% пользователей подвергались риску. Такой вывод подменяет знаменатель без доказательств. APNIC Labs не утверждала, что посчитала все резолверы или всех людей. Результат описывает тесты, проявившие конкретную возможность измерения.

По данным APNIC, её рекламная система тестирования выполняет около 16 миллионов проверок в день. Примерно шесть миллионов ежедневных результатов указывают на резолвер, выполняющий DNSSEC-валидацию, а около 1,8 миллиона ясно показывают сентинельный сигнал RFC 8509. Показатель около 70% рассчитывается среди тестов, которые, по-видимому, поддерживают сигнал и сообщают о доверии к KSK-2024. Тест — это наблюдение, а не подтверждённый уникальный человек. События могут повторяться для одних и тех же людей, сетей или резолверов; опубликованная методика не превращает их во взвешенную по населению перепись.

Это всё же полезное свидетельство. В измеряемой подгруппе, способной ответить на такой тест, новый якорь доверия на момент сбора наблюдений APNIC не был повсеместным. Эти данные помогают находить закономерности и направлять дальнейшие проверки. Их ценность зависит от того, сохраняется ли условие рядом с числом.

Verisign наблюдала другой сигнал

Около 90%, обобщённые APNIC, основаны на отчётах Verisign по RFC 8145. Совместимый резолвер может передавать системе корневых серверов сигнал о тегах ключей, которые он признаёт якорями доверия. Это иная точка наблюдения, чем сентинельный запрос RFC 8509 со стороны конечного пользователя. В выборку входят резолверы, поддерживающие механизм отчётности и создающие наблюдаемые сообщения; по определению, она не охватывает каждый рекурсивный резолвер.

Один сообщающий резолвер также не равен одному человеку. Он может обслуживать домохозяйство, предприятие, провайдера доступа или множество нижестоящих сетей. В доступном отчёте нет числа пользователей за каждым резолвером, которое позволило бы взвесить наблюдения по населению. Поэтому разница между 70% и 90% не доказывает противоречие, динамику эквивалентных выборок или глобальный прирост готовности на десять пунктов. Протоколы, критерии включения, периоды сбора и сетевые пути различаются.

Небольшое измерение RIPE Atlas даёт третью проверку, но не выносит вердикт двум процентам. 5 октября пробы в 2 900 автономных системах включали 1 230 случаев поведения, совместимого с загрузкой нового ключа, и 47 — совместимого с его отсутствием. Выборка была ограниченной и не взвешивалась по числу пользователей. В таблице APNIC о сетях с низким уровнем принятия также задан минимальный порог поддерживающих сентинельных тестов, чтобы наблюдения было легче трактовать; порог не доказывает сбой всей сети.

Подпись корня не раскрывает локальное состояние доверия

IANA указывает KSK-2024 с тегом 38696 как активный ключ, подписывающий корневую зону с 11 октября. KSK-2017 с тегом 20326 остаётся в фазе Post-Publication и по-прежнему является действительным якорем доверия. Его отзыв запланирован на 11 января 2027 года, удаление — на 22 марта. Это разные операционные состояния: новый ключ может подписывать зону, пока валидатор продолжает считать старый действительным якорем.

На странице ICANN указано, что новый ключ начал подписывать зону 11 октября в 14:00 UTC. В проверенном обновлении не было отмечено признаков широкомасштабного операционного сбоя; мониторинг должен продолжаться. Это описание наблюдаемой ситуации, а не доказательство того, что каждый локальный валидатор принял новый ключ. Оно также не доказывает отсутствие единичных отказов. И наоборот, тест, не показывающий новый ключ, сам по себе не доказывает сбой DNS-запроса.

Механизм отказа условен. Резолвер, выполняющий DNSSEC-валидацию и не имеющий пригодной цепочки доверия к корню, может отклонить подписанные данные. Резолвер без DNSSEC-валидации не откажет по этому конкретному механизму. Даже для валидатора результат зависит от локального состояния якорей доверия, конфигурации и пути запроса. Подпись корневой зоны указывает, какой ключ подписал зону; она не показывает состояние каждого нижестоящего валидатора.

Что позволяют утверждать измерения

Доказательства поддерживают три ограниченных вывода. Во-первых, переключение произошло по графику. Во-вторых, несколько инструментов обнаружили значительное внедрение, но каждый описывает свою наблюдаемую подгруппу. В-третьих, проверенное сообщение после переключения не указывало на широкомасштабный сбой. Данные не подтверждают утверждения, что 30% пользователей подвергались риску, что 10% всех резолверов пропустили ключ или что готовность достигла 100%.

Не хватает не ещё одного броского процента. Нужна обоснованная связь от наблюдений к числу и распределению затронутых валидирующих резолверов, а затем — к пользователям и службам за ними. Для этого необходимы явное описание охвата, устранение дублей, временные окна, взвешивание и показатель результата после переключения. Пока этого нет, рядом с каждой долей следует указывать её знаменатель, а наблюдаемое состояние ключа отделять от предполагаемого влияния на пользователей.

Источники