DNSSEC 首次部署需父区签发 DS 记录，但缺乏认证参数共享标准阻碍普及。deSEC 数据显示仅 50% 域名实现安全委派，而采用 RFC 8078 CDS/CDNSKEY 方法的 .ch、.cz、.li、.se 等顶级域接近 100%，证明自动化是突破关键，但现有方案均存在认证缺失或自动化不足问题。
现状与自动化效果：
deSEC 平台为所有托管区域签名并主动引导用户，但安全委派比例仍卡在 50% 左右。对比发现，启用 RFC 8078“CDS/CDNSKEY from insecure”机制的 .ch、.cz、.li、.se 四个顶级域，安全委派率接近 100%。该机制要求 DNS 运营商在子区放置 CDS/CDNSKEY 记录，父区通过查询获取 DS 构造参数，实现了自动化配置。然而 RFC 8078 明确指出该方法未提供认证，父区无法验证记录来源真实性，存在被篡改风险。
现有引导方式的局限：
除 RFC 8078 外，其他传递 DS 信息的方式包括：手工通过注册商门户提交、EPP 扩展、域名控制验证邮件等。这些方案要么依赖人工操作难以规模化，要么缺乏密码学认证手段，无法确保参数在传递过程中未被篡改。原文指出，所有现有方法要么缺乏认证，要么不适合自动化，均无法同时满足安全性与运维效率需求。
基于现有信任的带内新方案：
文章提出利用区域 DNS 运营商已有的信任关系，通过带内信令传递经过认证的引导参数。核心思路是：子区运营商持有区域签名密钥，父区信任该运营商的运维能力，可通过 DNS 协议本身传递经签名保护的 DS 参数，避免引入外部验证通道。这种机制复用现有 DNSSEC 信任链，在不增加新信任锚点前提下实现认证自动化，原文未给出具体协议细节与部署时间表。
对运维工程师而言，认证引导标准化将消除手工提交 DS 记录的易错环节，配合现有 DNSSEC 签名流程即可实现端到端自动化。当前可优先评估支持 RFC 8078 的注册商与顶级域，同时关注 IETF 相关工作组进展，为未来无缝迁移做准备。
原文: APNIC Blog（2022-03-08）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog