摘要

  • EDE 33 只说明解析器生成响应时有一个覆盖该查询的负信任锚生效；它不说明例外是否改变了响应，更不证明返回数据真实。
  • 管理者应分别保存配置、覆盖范围、披露、验证、传输和应用结果六张收据，不能把一个诊断码当成安全绿灯。

例外终于有了可见证人

DNSSEC 验证失败会逼迫运营者在两种损失之间选择：保持验证，用户可能无法访问一个只是签名配置错误的域；暂停验证，访问可能恢复，但解析器主动放弃了一项核心保护。RFC 7646 把这种妥协定义为负信任锚（NTA）：由本地验证型递归解析器针对有限名称设置的临时例外。

过去，响应接收者很难直接看到这个例外。运营方可以在网页上公布 NTA 清单，但 DNS 消息本身没有专门说明：这份响应是在验证例外生效时生成的。DNSOP 工作组新稿 Disclosure of Negative Trust Anchors in DNS Responses 提出 EDE 信息码 33“Negative Trust Anchor”。00 版日期为 2026 年 9 月 23 日；它仍是工作中的互联网草案，不是 RFC，也不是最终 IETF 共识。

它表达的事实很窄：携带 EDE 33 的响应，是在一个覆盖该查询的 NTA 生效时生成的。这个码应由配置了 NTA 的递归解析器发送；不做验证的纯权威服务器不应冒充发送者。运营者在应用 NTA 后应在受影响响应中返回该码，让用户和应用知道这份回答可能没有经过 DNSSEC 验证。

可观察性因此变好了。但信号恰好在最困难的问题之前停住。

披露不是认证

草案正文 明确把 EDE 33 定位为诊断信息。客户端不得仅因它出现就改变协议处理，它也不会改变 AD 位的处理规则。这延续了 RFC 8914 的设计：扩展 DNS 错误只是给响应增加背景，不会替代 RCODE，也不是新的命令通道。

更重要的是，EDE 33 不证明因果关系。只要 NTA 生效，解析器就可以在响应中带上该码，即使这个例外并未实质改变该响应。因此它回答不了反事实问题：如果没有 NTA，这次查询本来会不会验证失败？答案必须来自验证器日志，或者隔离环境中的无例外重放。

它也不认证 DNS 数据。NTA 之所以存在，正是因为解析器在有限范围内暂停了通常的验证。RFC 4035 规定了验证器的工作与安全状态；EDE 33 无法重建解析器选择不再要求的信任链，只能说明这个选择当时存在。

连披露信号本身也没有内建签名。草案提醒，路径上的攻击者可以添加、删除或修改 EDE。TSIG、SIG(0)、DNS over TLS 或 DNS over HTTPS 可以保护相关消息或链路，但即便 EDE 完整到达，也只证明某个已识别解析器报告了什么。它不能证明域名运营者只是无意配置错误，不能证明解析器调查充分，更不能证明返回地址指向预期服务。

六张收据，而不是一盏绿灯

第一张是配置收据：NTA 覆盖的准确名称、设置它的运营者、事故证据、批准人、创建时间和预定到期时间。RFC 7646 要求例外有时间上限；宽泛或无限期的旁路本身就是机制失效。

第二张是覆盖收据：证明这次 QNAME 和响应当时确实落在该 NTA 下。祖先名称上的 NTA 可能覆盖下级查询，也可能有多个 NTA 同时适用。仅凭可见答案无法安全重建范围。

第三张是披露收据：原始响应、解析器身份、观察时间以及每个 EDE 33 实例。草案允许多个实例同时存在，此时每个都必须带 EXTRA-TEXT。结构化字段 d 可表示配置 NTA 的域名，t 可表示预期持续到的时间；后者只是宽松的指示，不是自动移除凭证。

第四张是验证收据：AD/CD 位、验证器日志以及不使用例外时的受控结果。EDE 不改变 AD 处理，单凭它无法断言正常验证器原本会作出什么判断。

第五张是传输收据：客户端到解析器的路径是否防止 EDE 被剥离或篡改。这只能在受保护上下文中证明消息来源，不能把运营判断变成密码学事实。

第六张是应用收据：stub 解析器和应用实际收到、展示并采用了什么。DNS 响应到达后，应用仍可能失败、选择另一个地址、拒绝内容，或者连到错误端点。解析成功与服务成功是两件事。

把六张收据压成一句话，就会得到危险结论：“解析器说有 NTA，所以答案安全。”正确表述只能更小：“这个解析器报告说，在这个时间，这份响应被一个 NTA 覆盖。”其余都需要证据。

元数据也有隐私边界

EDE 33 能让例外更可问责，也可能暴露事故细节。EXTRA-TEXT 可以说明名称、原因、参考资料或预期时长；草案同时要求它面向人类、保持可读，并避免私人或敏感信息。工单号、客户身份、内部主机名或未公开的响应计划，不会因为塞进 DNS 选项就自动变得安全。

d 和 t 提高了机器可见性，却不改变证据边界。d 只是解析器运营者所称的配置点，不证明域名所有权；t 只是预期时间，不会自动删除配置，也不证明有人按时复核。更好的元数据能让漂移更容易被发现，不能让漂移不再发生。

最小公共信号，不是中央许可证

治理设计应保持克制。IETF 可以定义一个共同码，让本地例外可见。是否设置 NTA 仍应由解析器运营者承担，因为他们看见事故、服务受影响用户，也承担安全后果。域名运营者继续负责修复权威侧 DNSSEC。客户端可以决定如何展示诊断，却不得把诊断码变成“信任此答案”的指令。

这符合 Heng Lu 对最小初始规范、本地未来决策和自愿采用的划分：公共层只承载最小可互操作事实，不应升级为裁决例外的全球法庭。他对权威与信念的区分同样关键：标准化标签可以标识谁说了什么，却不会让内容自动成真。运行代码优先还要求我们超越 00 版文本；部署结论必须有数据包、版本、转发路径、客户端行为和移除记录。

草案状态与边界

00 版中的公共解析器示例是有用演示，不是支持率普查。转发器可能丢弃或重建 EDE；UDP 尺寸压力可能先删掉补充选项；stub 解析器和应用可能根本不展示它。草案仍可能变更，后续版本也可能调整语义或结构化字段。

即便如此，这项提议仍改善了证据面：它给原本隐藏的验证弱化设置了一个标准化证人。领导层真正要做的，是拒绝把证人提拔成裁决者。

来源