摘要

  • ICANN于10月15日称，计划中的根区密钥签名密钥转换已于10月11日完成，KSK-2024接替KSK-2017签署根区。
  • 旧密钥的撤销和移除仍是2027年的后续步骤。ICANN正评估少数系统报告的问题，但尚未认定问题由此次转换造成。

完成签名转换，不等于整个周期结束

根区DNSSEC签名密钥按计划完成了交接。ICANN 10月15日的公告称，KSK-2024已经开始签署根区，KSK-2017则不再签署。这个状态说明了密码学层面的转换已经发生；它不能证明每台验证解析器都完成了信任锚更新，也不代表旧密钥的生命周期已经全部结束。

IANA公布的日程把余下步骤列得很清楚。KSK-2017停止签名后，仍然是有效的信任锚。IANA计划于2027年1月11日将带有RFC 5011撤销信号的旧密钥发布到根区，并计划于3月22日将其移除。对于采用自动信任锚更新机制的解析器来说，撤销和移除是前后分开的处理阶段。

ICANN公告还保留了一项未决的运行问题。公告说，换钥后有少数系统出现问题的报告，ICANN正在评估这些问题是否与转换有关。公告没有给出系统清单、数量，也没有作出因果判断。不能据此断言换钥导致了故障，也不能把公告改写成“没有发生任何问题”。ICANN表示会在余下的运行节点继续监测DNS生态。

对网络运营者而言，根区当前由哪把密钥签名，与本地验证解析器保存了什么信任锚，是有关联但不同的状态。IANA指出，验证解析器要继续验证根区，必须拥有已更新的信任锚。现有来源没有提供全球解析器准备度的测量。因此，根区层面的切换完成，并不能替代对本地部署的检查。

治理上的关键，是公开记录能否保留这些区别。“按计划完成”描述的是签名密钥的转换。信任锚撤销、旧密钥移除，以及对问题报告的证据评估，都应各有状态、日期和依据。若把它们压成一个“已完成”标签，公告会更简短，却更难帮助负责本地验证的人判断下一步。

来源