摘要

  • ICANN于10月12日开启公开征询，内容是Interisle Consulting Group对DNSSEC委派签名者记录自动化所作的安全与稳定性评估。
  • Interisle认为，只有满足七项硬性要求并记录七类运行信息，这一机制才不会在相关定义下造成重大安全或稳定性问题。
  • 这轮征询是证据审查环节，不等于批准部署；ICANN组织仍须自行判断，快速通道的合同修正草案也要等后续征询。

这一程序的条件早于本轮意见征询。2025年9月，ICANN董事会接受安全与稳定咨询委员会（SSAC）的建议，要求ICANN组织为注册局运营方建立Registry Services Evaluation Policy（RSEP）快速通道，但前提是组织未发现安全或稳定性问题。同一项决议明确，注册商可以不经ICANN批准部署该服务。一年后，ICANN组织把一份外部评估交由公众审阅，并未宣布前提已经满足。

Interisle的报告日期为6月23日，研究的是一条具体的数据交接链：子区运营方发布已签名的CDS或CDNSKEY记录；父区注册局或赞助注册商可以抓取并验证；最终只有注册局把由此生成的DS记录发布到父区。域名持有人仍对自己的DNSSEC配置拥有最终权力，而运营方、注册商和注册局分别掌握链条上的不同步骤。

DS记录把子区的密钥接入父区的信任链。自动化可能减少人工更新的等待时间，同时也会让一个组织发出的信号变成另一个组织父区中的发布变更。Interisle评估了DS日常维护、初次配置，以及将委派切换为不安全状态三种变化；推送式API、带外接口和CSYNC不在报告范围内。

18项发现并非同等强度。七项是硬性要求：父区发布前验证DS；确保权威名称服务器之间保持一致；允许注册商退出；不能仅因clientUpdateProhibited锁定就停止日常维护；保留手动管理DS的途径；正确处理带认证的零算法信号以退出DNSSEC；以及在注册局通过EPP主导自动化时通知注册商。另有七类披露事项，记录运营方的轮询频率、延迟、TTL与回滚期限、额外校验、多签名配置和报告渠道等选择。四项建议则超出当前硬性底线，例如检测并报告状态偏差、缩短DS TTL。

因此，Interisle给出的是附条件的结论，而不是适用于所有实现的安全认证。报告认为，只要满足硬性要求并记录披露信息，机制就不会按RSEP定义构成重大安全或稳定性问题。它仍提示三处需要审视：多签名部署、可观测性，以及某条引导配置路径要求名称服务器先有签名。

ICANN当前要求公众判断：报告是否识别出相关风险，缓解措施是否充分、相称且可实施。意见提交截止日为2026年11月23日，汇总报告预计12月7日发布。ICANN表示会考虑修订评估、发布说明其审查过程的附录，并在之后另开程序征询快速通道的标准合同修正文本。在此之前，董事会的附条件指令、顾问的评估、ICANN组织的判断、合同条款和运营方部署仍是不同状态。

来源