摘要

  • SeCIU于10月15日更换.uy的硬件安全模块并更新DNSSEC密钥，过程有大学法务公证和技术机构见证。
  • ICANN称新密钥同时覆盖现行算法与计划数月后引入的新算法；IANA目前的.uy根区委派仍只有一条算法8的DS记录。

在蒙得维的亚的安全设备里造出一把密钥，并不能立即改变全世界解析器信任什么。NIC.UY的原始公告记录了10月15日的仪式：SeCIU在乌拉圭共和国大学工学院更换HSM并更新.uy的DNSSEC密钥，大学法律部门作出公证，ICANN、LACNIC及本国机构派员见证。这是.uy自2015年部署DNSSEC以来第二次更新。仪式证明密钥如何产生和保管，却没有公布切换日期。

ICANN的见证记录补上关键细节：SeCIU生成了适用现行加密算法的签名密钥，也为未来数月计划采用的另一算法生成密钥。公告没有给出新算法编号。11月3日查阅的IANA .uy委派记录仍仅列一条DS：密钥标签19730、算法8、摘要类型2；页面所示上次更新时间为8月7日。这个记录说明根区向验证者公布了什么，不能当作SeCIU新设备内全部密钥的清单。

真正的运营风险在两者之间。密钥先生成，可以过一段时间才为线上区域签名。算法转换要让.uy区域签名与上级DS衔接，还要留出旧链和新链并行的时窗，让解析器持续验证。时序错了，密钥生成得再规范，已签名域名仍可能在验证端失效。现有公告缺少并行时窗、未来算法编号和上级DS更新日；这些文件出现，才能判断准备工作何时进入实际切换。

ICANN提到10月11日的DNS根区KSK轮换，那是另一项独立操作。对.uy来说，下一张真正有分量的记录是IANA委派变更及其日期，再加上跨切换期的验证证据。封好的信封能证明保管，不能替根区写入新信任链。