摘要

  • 15:32 UTC，A、B、L、M 返回 38696；约 16:09 UTC，四个名称再次返回该标签。
  • 较早的 12:11 UTC 样本在 A、M 和两个公共递归服务上仍看到 20326，即 KSK-2017 的标签。这些是离散观测，不是全球调查。

线上应答先于状态表变化

日程曾把 10 月 11 日列为计划日期；现在，实际 DNS 应答也显示了变化。15:32 UTC，关闭递归并通过 TCP 查询 A、B、L、M 四个根服务器名称，四者都返回带有 38696 标签的根区 DNSKEY 签名。IANA 的密钥表将 38696 对应到 KSK-2024，将 20326 对应到 KSK-2017。 约 37 分钟后复查，四个名称仍都返回标签 38696。

同日 12:11 UTC，A、M 以及 1.1.1.1、8.8.8.8 仍返回 20326。稍后的记录中，重复查询的 A、M 已显示 38696，B、L 也相同。因此，至少这些重复观测点的应答在两次采样间发生了变化。但它不能给出实际切换的具体时刻，也没有覆盖所有任播节点和递归解析器。签名起始字段里的 00:00 UTC 是有效期信息，并非每台服务器的变更日志。

这里的 RRSIG 签署 DNSKEY 集合，这组记录用于验证根区密钥。看到 KSK-2024 的签名，能够确认被查询的权威应答已用新密钥签署该集合；它不能证明每台验证型解析器都已把 38696 存为本地信任锚，也不能证明用户出现验证故障。

15:32 UTC 的抓取中，IANA 页面仍将 KSK-2024 标为“Pre-Publication”、KSK-2017 标为“Active”。约 16:09 UTC 的直连重新验证抓取则写明 KSK-2024 已开始签署，并列为自 10 月 11 日起“Active”；KSK-2017 标为“Post-Publication”。两次抓取间页面已更新，但具体时间不明。APNIC 10 月 9 日的文章仍把签署视为未来事件。本报道记录了这一变化，不推断所有解析器均已就绪。

ICANN 10 月 11 日提醒解析器运营者核对信任锚配置中是否有 38696，不要假定自动更新已成功。这个核对必须落在本地生产解析路径上。IANA 另列出 KSK-2017 计划于 2027 年 1 月 11 日撤销、3 月 22 日移除；现在的签名不能证明后续步骤已经发生。

约 16:09 UTC，A、B、L、M 再次返回 38696；IANA 已将 KSK-2024 列为 Active、KSK-2017 列为 Post-Publication。这些样本没有测量递归解析器的信任锚采用率、验证故障或用户影响。

来源

APNIC 10 月 9 日的根密钥报告；IANA 根信任锚与轮换日程；ICANN 10 月 11 日给解析器运营者的提醒。DNSKEY 数据来自对所列根服务器地址的直接查询。