APNIC 实验室观测显示，全球 DNSSEC 部署自 2016 年起呈下降趋势，引发“是否已过峰值”的讨论。DNSSEC 通过数字签名让解析器验证响应真实性，可检测劫持与伪造，但密钥管理、区域签名等运维成本高、增加系统脆弱性，导致推广受阻。
**DNSSEC 解决的核心威胁**
DNS 原本无法判断响应是否真实，攻击者或监管方可通过拦截、篡改响应，将用户导向恶意地址或制造空响应。DNSSEC 让权威服务器对区域数据签名，递归解析器通过信任链验证签名与 NSEC/NSEC3 记录，既能确认响应完整，也能证明名称不存在。若验证失败，客户端即可判断链路中存在第三方篡改。原文未给出具体验证失败率或拦截案例数据。
**部署成本与脆弱性的权衡**
签名引入密钥生成、轮换、密钥签名密钥（KSK）与区域签名密钥（ZSK）分级管理、签名过期时间设定、父区 DS 记录同步等环节，任一环节失误即导致验证失败。增加的移动部件使系统更易脆弱，运维团队需投入持续人力。原文未给出具体运维工时、密钥轮换周期或故障率数据。
**采用率下降的观测与启示**
APNIC Labs 自 2016 年起记录到全球 DNSSEC 采用比例下滑，提示“峰值 DNSSEC”可能已现。原文未给出采用率具体数值、测量方法、抽样范围或各顶级域差异。下降趋势反映部署方在收益与成本间重新评估：验证收益集中于防劫持、防伪造，但若上游未签名或下游解析器不验证，单方面签名效用有限。
对网络工程师而言，DNSSEC 非万能药，需在验证收益与运维负担间权衡。建议监控验证失败率、自动化密钥轮换流程、确保父子区同步可靠，并在部署前评估上下游签名覆盖率，避免单向投入无法兑现安全红利。
原文: APNIC Blog（2018-02-26）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog