摘要

  • Anne-Marie Eklund Löwinder 作为密码官保管的是实体保管箱钥匙，用来取出仪式所需凭证；它不是根区密钥签名密钥，更不能让她单独完成签名。
  • 这套制度的核心资产是“被设计出来的无能为力”：日常操作与灾难恢复分流，多人到场、预先公布脚本、事后证据和岗位继任共同限制个人权力。

一把看得见、摸得着的金属钥匙，很容易替复杂基础设施承担叙事。它被拍进照片，就仿佛持有人也把互联网握在手中。可 Anne-Marie Eklund Löwinder 多年保管的钥匙，只能开启一个存放仪式凭证的保管箱。离开指定设施、其他参与者、受保护设备和既定流程，它不会生成根区签名，也不会赋予任何人修改域名记录的权限。

这种“做不到”并非权限残缺，而是安全设计的成品。IANA 的退任可信社区代表名册显示，Eklund Löwinder 在 2010 至 2022 年间担任东海岸第二密码官。十二年足以让公众把一个人和一个岗位混为一谈；而根密钥仪式必须反复证明的，正是人可以长期可信，岗位却不能因此变成私人权柄。

让专家进入，让个人权威止步

Eklund Löwinder 不是用来装点仪式的名人。互联网名人堂的机构传记认为，她推动 .SE 在 2005 年成为首个采用 DNSSEC 签名的顶级域。DNSSEC 要解决的问题很明确：传统域名系统擅长回答“去哪里”，却没有原生机制证明一条回答在传递途中未被伪造。根区 KSK 的公开部分作为信任锚，为验证解析器检查整条签名链提供起点。

也正因为参与者具有专业声望，制度必须把声望与操作能力拆开。IANA 的遴选条件排除 PTI、ICANN 和 Verisign 的直接关联人员，并强调诚信、客观与社区和地域多样性。外部代表把独立信誉带入敏感环节，但这种信誉不会自动兑换成独立执行权。

密码官的职责非常具体：在两次仪式之间保管实体保管箱钥匙；需要时把它带到现场；协助取得受保护凭证；观察程序是否按文件执行；之后对所见事实作出确认。如果钥匙遗失或可能泄露，必须报告。离任时，还要在最后一次仪式中完成交接。这里把保管、见证和连续性放在一个角色里，却刻意不把完整操作链交给这个角色。

日常通道与灾难通道不是一回事

“密码官”与“恢复密钥份额持有人”常被媒体并称为持钥人，但二者应对的是不同故障。

密码官参加常规根密钥仪式。恢复密钥份额持有人则面向极端情形：正常设施和常用密钥材料都无法继续使用时，才启动灾难恢复。他们保管的智能卡也不是一把完整的恢复密钥。IANA 明确说，每张卡只有一个很小的片段；只有达到门限的多名持有人配合，并遵循受控程序，才可能重建所需材料。

因此，恢复份额持有人通常不参加季度仪式。他们定期确认卡片仍在保管之中，并参与功能测试。如果丢失的份额超过一个，制度要着手重新拆分新的恢复密钥。日常运行不能卡在一个运营者的独占物理访问上，灾难恢复也不能把完整救援秘密塞进一名志愿者的口袋。两条人力路径分开，才不会在追求冗余时制造同一个单点。

仪式真正生产的是可质疑的记录

“仪式”这个词容易让人想到象征性表演。根密钥仪式若只有庄严气氛，就无法产生制度信任。IANA 会提前公开脚本，允许公众观察并提供直播；如果现场必须偏离脚本，例外应经过讨论和同意，再执行并进入审计材料。最低到场人数、候补代表和紧急规则，则预先界定某位人员缺席时哪些动作可以继续。

这组安排把一个安全房间变成一串可核对的主张。脚本告诉外界“本来应该发生什么”，直播呈现“镜头下发生了什么”，日志、见证确认与审计材料保留“事后能证明什么”。摄像机看不见加密设备的全部内部状态，文件也不会自行完成审计。它们合在一起，却能提高隐瞒偏差的成本，并让外部观察者提出具体反证。

2025 年版 DNSSEC 实务声明进一步写明当前制度中的职能分离：密钥生成、使用和销毁分工，KSK 操作需要多人访问，审计人员不参与其所审查的多人控制。它只能证明现行设计，不能反推 Eklund Löwinder 任期内每个条款始终不变。更稳定的判断对象是原则：接触凭证的人、执行操作的人、独立见证的人和检查证据的人，不能收缩成同一个权力中心。

KSK 签的是什么，它又不是什么

根区 KSK 并不逐条签署所有 DNS 回答。在常规运行中，它认证负责签署实时根区的区域签名密钥（ZSK）；KSK 的公开部分作为 DNSSEC 信任锚发布。一次典型仪式会为接下来的运行周期准备签名，也可能纳入代表履新、安全硬件调整或 KSK 生命周期操作。

所以必须连续拆开四件事：保管箱钥匙不是 KSK 私钥；KSK 私钥不是根区内容的编辑权；根区签名也不等于一人对分布式域名系统的统治；可信参与者更不是“互联网开关”。每省略一层，故事都会更好讲，但制度为何可信就更难理解。

说 Eklund Löwinder 的钥匙不能签名，并没有削弱她的贡献，反而给出了准确尺度。一位 DNSSEC 先驱愿意占据一个有意受限的位置：她提供外部社区的在场、长期记忆和可进入公共记录的见证，却不要求声望替代多人控制。对全球基础设施而言，愿意接受可验证的边界，有时比获得更多权限更珍贵。

来源