2017 年 9 月底至 10 月初，DNS-OARC 27 在圣何塞召开，核心议题聚焦根区 KSK 滚换延期及 DNSSEC 部署现状。会议通过 RFC 8145 信任锚信令数据、.gov 域测量与根金丝雀项目，揭示验证解析器密钥更新不全、算法迁移不均、采样偏差显著等问题。
KSK 滚换延期与信任锚信令分析：
Duane Wessels 展示 RFC 8145 定义的信任锚信令数据。数据集虽小，但显示两类验证解析器行为差异：一类按 RFC 5011 保持期自动加载新 KSK，另一类未遵循自动滚换流程，仍仅信任旧密钥。此现象直接导致原定 10 月 11 日的根区 KSK 滚换被推迟。原文未给出具体数据量级。
.gov 域 DNSSEC 部署概况：
NIST 的 Scott Rose 报告 .gov 域签名情况：美国联邦 .gov 域 84% 发布 DNSSEC 签名区，但计入全量委派域后比例降至 20%。算法方面，RSA/SHA-1 仍存量显著，RSA/SHA-256 占主流，单一域名已迁移至 ECDSA P-256。NSEC3 广泛使用，但盐值与迭代次数未随 KSK 变更调整，最佳实践落地不足。原文未给出具体域名数量。
根金丝雀项目的采样偏差：
Moritz Muller 汇报根金丝雀项目，结合 RIPE Atlas 探针与 Luminati 网络测试。发现显著采样偏差：RIPE Atlas 探针中 42% 使用 DNSSEC 验证解析器，而 Luminati 测试仅观测到 7%。小样本与大样本均存在偏差风险，该差异引发对测量代表性的担忧。原文未给出探针总数与测试时长。
对运维工程师而言，三大启示明确：需验证解析器是否完成 RFC 5011 自动密钥更新、按规范轮换 NSEC3 参数、警惕单一数据源的采样偏差。KSK 滚换延期表明根区变更容错极低，任何自动化流程失效都可能引发全链路信任中断。
原文: APNIC Blog（2017-10-05）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog