ICANN就DNSSEC授权签名者自动化的安全性与稳定性评估征求意见

互联网名称与数字地址分配机构ICANN近期对外发布公开征询，针对DNSSEC授权签名者自动化流程的安全性、稳定性评估方案面向全球社群征求意见，本次意见征集关乎全球域名系统安全基础设施未来的运行机制。

一、背景介绍

DNSSEC是为DNS域名解析体系提供数据来源认证与防篡改能力的核心安全协议，依靠DS记录将注册局密钥信息提交至上级根区，实现域名解析链路的密码学校验。传统模式下，DS记录的新增、修改、删除大多依赖人工提交与人工审核，操作流程繁琐，容易出现人为录入错误、变更滞后等问题。

随着域名解析规模持续扩张，行业内提出DS记录自动化管理方案，允许注册商系统自动更新DS记录，免去人工提交步骤，大幅提升DNSSEC密钥轮换效率。但自动化流程也带来新风险：一旦账户权限泄露、API接口被劫持，攻击者可篡改DS记录，直接造成域名解析验证失效，引发域名劫持、全网解析故障等严重安全事件。

二、本次征询核心内容

本次ICANN征求意见的重点，是建立一套标准化评估框架，用于衡量DS自动化方案的安全能力与运行稳定性，评估维度主要包含：

1、身份与访问管控：自动化接口的鉴权机制、多因素认证、权限最小化策略，防范未授权调用。
2、变更校验机制：DS记录变更前的合法性校验、异常操作告警、变更回滚能力。
3、稳定性保障：批量密钥轮换场景下的限流、重试、故障熔断机制，避免大量域名同步更新冲击根区与顶级域系统。
4、审计与追溯：所有自动化操作完整日志留存，满足事件溯源、安全排查需求。
5、风险分级：区分普通域名、高价值关键域名，是否对高风险域名限制全自动DS变更能力。

ICANN希望收集注册局、注册商、域名运维人员、安全厂商、技术社群多方观点，判断自动化DS更新方案是否具备规模化落地条件，识别潜在漏洞，形成统一安全基线。

三、行业影响解读

对域名服务商与企业运维团队而言，DS记录自动化落地之后，DNSSEC密钥轮换将从复杂的人工操作变为可定时自动执行，大幅降低运维成本，减少因忘记轮换密钥导致域名解析失效事故。

与此同时，安全边界随之转移。过去风险集中在人工操作失误；自动化落地后，安全重心转向API防护、账号体系与异常行为监测。如果评估标准偏宽松，一旦大规模普及，可能引入全球性DNS安全隐患；评估标准过于严苛，则会抬高服务商接入成本，阻碍DNSSEC大范围推广。

四、参与方式与后续展望

相关组织、技术从业者可在意见征集窗口期内向ICANN提交书面反馈。收集全部意见后，ICANN将组织工作组修订评估框架，后续该框架会作为注册商上线DS自动化功能的重要参考标准。

DNS是互联网底层基础设施，DNSSEC自动化的推进，代表域名安全运维正在从人工驱动走向自动化、平台化。本次征求意见，是在运维效率与全网安全稳定性之间寻找平衡点，结果将长期影响全球域名系统安全体系演进。