摘要

  • APNIC 的约 70% 结果以明确发出 RFC 8509 哨兵信号的测试为条件；Verisign 的约 90% 指报告 RFC 8145 状态的解析器。两者不是对同一群体的两次估算。
  • 根区于 2026 年 10 月 11 日开始使用 KSK-2024 签名。公开材料确认了切换，也记录了当时未观察到广泛运行中断，但没有统计全部解析器、独立用户或零星故障。

百分比必须带着分母

对密钥轮换数据最诱人的解读，恰恰最缺乏依据：既然被测群体中约 70% 信任新密钥，那么剩下的 30% 用户或许面临风险。这个推断在没有证据的情况下换掉了分母。APNIC Labs 并未声称自己统计了所有解析器或所有人。它的结果描述的是能够显示某项测量能力的测试。

APNIC 表示，其基于广告的测试系统每天生成约 1,600 万次测试。每天约 600 万条结果显示相应解析器进行 DNSSEC 验证，约 180 万次明确提供 RFC 8509 哨兵信号。约 70% 是在那些看起来支持该信号、并报告信任 KSK-2024 的测试中计算出来的。一次测试是一条观测，不等于已确认的一名独立用户。重复事件可能来自同一个人、网络或解析器；公开方法并未把这些事件转换成按人口加权的普查。

这仍然是有用证据。对于当时能够被测量、并能回答该测试的子集，新信任锚并未普遍出现。这个结果可以帮助发现模式、安排后续核查。关键是报告数字时不能删掉它的限定条件。

Verisign 观察的是另一种信号

APNIC 概述的约 90% 来自 Verisign 的 RFC 8145 报告。支持该机制的解析器可以向根服务器系统发送信号，说明它识别哪些密钥标签为信任锚。这一观察位置不同于面向终端用户的 RFC 8509 哨兵查询。样本包括支持报告机制且产生可观测报告的解析器；它并不按定义覆盖每个递归解析器。

一个报告状态的解析器也不等于一个人。它可能服务一个家庭、一家企业、一个接入提供商，或者众多下游网络。现有报告没有给出每个报告解析器背后的用户数，无法据此按人口加权。因此，70% 与 90% 的差异不能证明数据矛盾、等价样本之间的趋势，或全球准备度提高了十个百分点。协议、纳入条件、采集时间窗和网络路径都不同。

RIPE Atlas 的小规模测量提供了第三种检查，但不能替上述比例裁判。10 月 5 日，分布于 2,900 个自治系统的探针中，有 1,230 个表现与已加载新密钥相符，47 个则与尚未加载相符。该探针集规模有限，也没有按用户数加权。APNIC 对低接受率网络的列表也设置了哨兵测试数量门槛，以提高可解释性；达到这个门槛仍不能证明整个网络发生故障。

根区签名不等于本地信任状态

IANA 将密钥标签为 38696 的 KSK-2024 列为 Active，并记录其自 10 月 11 日起为根区签名。标签为 20326 的 KSK-2017 仍处于 Post-Publication 阶段，依然是有效信任锚。其计划撤销日是 2027 年 1 月 11 日，计划移除日是 3 月 22 日。这些是不同的运行状态：新密钥已可签名时，验证器仍可能把旧密钥保留为有效信任锚。

ICANN 的轮换状态页称新密钥于 10 月 11 日 14:00 UTC 开始签名；在所查更新中，尚未发现广泛运行中断的迹象，并表示继续监测。这说明已观察到的运行情况，不能证明每个本地验证器都接受了新密钥，也不能证明没有零星故障。反过来，测试没有显示新密钥，也不能单独证明用户的 DNS 查询失败。

故障机制本身带有条件。一台进行 DNSSEC 验证、但没有可用根信任链的解析器，可能拒绝已签名数据。不进行 DNSSEC 验证的解析器不会通过这条特定路径故障。即便是验证器，实际结果也取决于本地信任锚状态、配置和查询路径。根区签名回答的是区域使用什么密钥；它不会揭示每台下游验证器的状态。

这些测量能支持什么结论

现有证据支持三个有边界的结论。第一，轮换按计划发生。第二，多种工具观察到相当程度的采用，但每种工具只描述各自可观测的子集。第三，所查的轮换后状态没有报告广泛中断。证据不支持“30%用户处于风险中”“10%的所有解析器没有新密钥”或“准备度已达到100%”等说法。

缺少的不是另一个醒目的百分比，而是一条可辩护的映射链：从样本观测推算受影响验证器的数量和分布，再推算这些解析器背后的用户与服务。这需要明确覆盖范围、去重、时间窗口、加权方法和轮换后的结果指标。在获得这些信息前，每个比例都应保留自己的分母；观测到的密钥状态也应与推断的用户影响分开。

来源