摘要

  • KSK-2024 于 2026 年 10 月 11 日按计划开始签署 DNS 根区；ICANN 表示尚未观察到广泛运营中断迹象。
  • 这项公开状态确认的是根区切换，而不是所有解析器都已采用新密钥，也不能证明没有局部故障。KSK-2017 在后续预定撤销和移除步骤前仍是有效信任锚。

“切换成功”并非只有一种含义

ICANN 的 KSK 轮换页面记录了明确的时间：10 月 11 日 14:00 UTC，KSK-2024 开始签署根区。页面同时称，尚未发现广泛运营中断的迹象，并将继续监测。IANA 也把新密钥列为已启用，并注明 KSK-2017 不再签署。它们都是重要事实，但必须按原有范围理解。

根区开始由新密钥签名，不等于每台验证型递归解析器都已接受新密钥。根区发布带签名的 DNS 数据；递归解析器替客户端验证这些数据。验证器需要本地信任锚作为验证链的起点。如果需要验证新的签名状态时，本地没有可用的 KSK-2024 信任锚，DNSSEC 验证便可能在这台解析器上失败。使用它的客户可能受影响，但这并不等于全球根区或整个 DNS 都已中断。

因此，至少应区分四层证据：根区中密钥的发布和签名状态；每台解析器的可信密钥状态；把新密钥写入该状态的软件与更新机制；以及用户侧实际解析结果。一层的记录不能替代另外几层的回执。

长准备期正是为独立运行的解析器而设

IANA 在新密钥启用前很久就公布了 KSK-2024。它于 2025 年 1 月 11 日进入根区，IANA 预计遵循 RFC 5011 的解析器从 2025 年 2 月 10 日起信任该密钥。近两年的预发布期让兼容解析器有机会发现并接受新密钥，同时旧密钥仍在签署根区。ICANN 7 月的指南称，在切换前，超过 95% 的“报告解析器”已识别或采用 KSK-2024。这个数字说明报告者中的准备程度较高，却不是所有解析器的普查，也不是切换后的成功率。

RFC 5011 解释了为什么“已发布”和“已信任”是不同状态。自动更新的解析器会先在经过验证的 DNSKEY 记录集中观察新密钥，等待新增密钥的保持期，再确认保持期后的记录集仍含有该密钥，之后才将其接受为信任锚。默认保持期至少为 30 天，实际时长还受原始 TTL 规则影响。这一决定发生在各台解析器本地，依据它们实际看到并保存的内容。中心机构制定时间表可以留出迁移机会，却无法证明分布式设备的磁盘状态、软件配置或验证结果都一致。

2018 年的轮换说明了这个边界。ICANN 的复盘称，第一次计划切换曾在最后阶段延期，因为数据表明，不少 ISP 和网络运营商的解析器尚未准备好。2018 年切换后，DNSKEY 查询模式又显示仍有一些解析器未准备妥当；不过，复盘未发现重大中断，用户可见影响也很小。报告还指出，解析器由各自运营者管理，根区运营方无法测量或控制所有相关环节。正因为如此，2026 年的状态用的是“未发现广泛中断迹象”，而不是“所有解析器均成功”。

十月是切换点，不是生命周期终点

密钥状态还在变化。IANA 当前时间表称，KSK-2017 于 2026 年 10 月 11 日停止签署，但仍是有效信任锚。计划在 2027 年 1 月 11 日于该密钥上发布 REVOKE 位，并在 3 月 22 日将其从根区移除。这些是后续独立的状态转换，也会涉及解析器行为和新的证据。不能把十月的签名切换说成旧密钥已经立即删除，或所有对旧密钥的信任均已结束。

这一区别影响实际运维。有些系统自动更新信任锚，有些依赖软件供应商软件包、人工维护的信任锚文件、设备固件或托管解析服务。同一组织也可能同时走多条路径。软件包已发布不代表已安装；配置了密钥不代表更新会持久保存；某一测试点查询成功，也不代表所有客户端路径的验证行为相同。这些都是要单独检查的运营状态。

ICANN 提醒验证型解析器运营者确认信任锚配置中含有 KSK-2024（Key Tag 38696），并警告不要想当然地认为自动更新已经成功。IANA 则说明，带签名的 XML 信任锚文件是密钥参数的规范来源，运营者应遵循各自软件供应商的更新说明。这为本地核验提供了明确目标，但全网解析器群体的证据仍分散在各处。

公共记录可以说明什么，不能说明什么

现有公开记录支持三项结论：新密钥按计划接管了根区签名；截至 ICANN 发布状态更新时，尚未观察到广泛运营中断；旧密钥的撤销和移除仍是未来节点。公开材料没有给出逐台解析器清单、切换后的总体分母、全网采用率，或受影响用户数；没有公开故障清单，也不能因此推断没有解析器或客户遇到问题。

这并不意味着应否定状态更新，而是要按恰当范围表述。根区运营者可以报告签名状态和其监测到的信号。解析器运营者能报告自己的信任状态和验证行为。软件供应商可以说明软件包和自动更新如何分发。服务提供商可以观察自身客户影响。各方的观察位置不同，没有任何一方单独拥有全网视角。

按计划完成轮换后，重要问题不只是仪式或日期是否完成，而是证据链是否延伸到实际依赖新密钥的系统，以及剩余退役步骤是否保留了清晰的恢复路径。对 2026 年轮换，公开答案是正面但有限的：根区按时切换，尚未观察到广泛中断。其他结论仍需在解析器和服务层面分别证实，2027 年 1 月与 3 月的节点也还未到来。