ICANN报告称根区KSK轮转已按计划完成

互联网名称与数字地址分配机构ICANN发布官方报告，确认互联网根区DNSSEC的根密钥签名密钥轮转工作已按照预定计划顺利落地，本次操作是全球互联网域名底层安全基础设施的一次重大维护动作。

一、事件背景

根KSK是DNSSEC体系的信任锚，是整个全球DNS解析安全链的起点。根KSK的签名用于验证根区记录真实性，防止DNS劫持、缓存投毒等攻击。按照安全运维规范，根KSK需要定期轮换，避免长期使用单一密钥带来泄露风险。

根KSK轮转并非简单更换密钥，需要全球递归DNS运营商、服务商同步更新信任锚，存在较高协同难度。一旦各地解析服务商未能及时更新信任配置，会引发大范围域名解析验证失败，造成网站无法访问。

二、本次轮转执行情况

ICANN报告指出，本次根KSK轮转全流程分步推进，包含密钥预发布、双密钥并行生效、旧密钥逐步退役等阶段。在整个窗口期内，全球主流递归DNS服务商、运营商、企业DNS系统持续完成新信任锚部署。

监测数据显示，随着部署率持续提升，未兼容旧配置引发的解析异常事件处于可控范围，没有出现大规模全球性DNS中断。整套轮换流程、监测预案、异常告警机制均达到预期目标。

三、核心技术影响

1、底层信任体系更新：互联网DNSSEC根信任锚完成迭代，新KSK正式承担根区记录签名校验职责。

2、运维收尾工作：后续一段时间内，技术团队将持续观测全网解析数据，跟踪残留的旧密钥依赖节点，逐步完成旧KSK的彻底停用。

3、运维启示：企业、IDC服务商、自建DNS的机构，需要确认本地递归DNS的信任锚库已更新，避免后续出现DNSSEC验证报错。

四、行业意义

根KSK轮转是互联网为数不多需要全球协同的基础设施变更。本次顺利落地，证明全球DNS社群跨组织协同机制有效，也验证了DNSSEC这套底层安全体系持续稳定运行的能力。

对域名行业、IDC与网站运维人员而言，该事件再次提醒：DNS安全不只是域名层面的DS记录配置，递归解析侧的信任锚维护同样是关键一环，需要持续关注ICANN根区动态，提前做好基础设施适配。

五、后续关注重点

ICANN将持续对外公布监测统计数据，跟踪全球各区域信任锚部署完成率。运维团队仍需持续监控域名解析日志，排查DNSSEC验证类报错，及时处理遗留适配问题。