APNIC Labs 持续发布互联网关键技术的部署测量数据，本文阐述其测量 DNSSEC 验证采用率的背景与动因。DNSSEC 通过给 DNS 资源记录附加数字签名，使客户端能够验证响应的真实性与时效性，但签名端与验证端的部署均呈现不均衡状态，多数 ISP 递归解析器尚未启用验证，终端存根解析器更极少具备验证能力。
DNSSEC 双重机制与签名端现状
DNSSEC 包含两个部分：一是为 DNS 记录添加数字签名，使每条响应可被验证；二是验证端对签名进行校验。原文指出，区域签名的采用情况“variable”（不一），未给出具体签名区域占比或增长率数据。尽管 RFC 4033 确立标准多年，签名部署仍未形成普遍共识，部分顶级域与热门二级域已签名，但长尾区域覆盖率原文未给出具体数据。
验证端部署面临的阻力
许多 ISP 运营的递归解析器不愿增加请求签名与验证的解析步骤，原文强调“very, very few”终端存根解析器具备验证功能。这种犹豫源于验证带来的额外延迟、EDNS0 缓冲区扩展兼容性、密钥滚换运维复杂度等工程考量。原文未给出各经济体或 AS 级别的验证率具体数值，仅定性描述为“less than enthusiastic”。
测量视角的必要性
鉴于 DNS 干扰广泛存在——包括国家级审查、法院命令封锁、恶意软件劫持与缓存投毒——全面消除干扰不切实际。APNIC Labs 的测量旨在量化客户端实际具备验证能力的比例，为协议演进与部署策略提供实证基础。原文未展开具体测量方法（如广告标签、RIPE Atlas 探针、被动流量分析等），亦未给出最新测量周期或样本规模。
对网络工程师而言，理解测量框架有助于评估自营递归解析器的验证覆盖率，决定是否在接入层启用 DNSSEC 验证以降低劫持与投毒风险；同时可参照测量趋势，规划密钥管理自动化与 EDNS0 缓冲区调优，推动验证能力向网络边缘延伸。
原文: APNIC Blog（2023-10-31）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog