ICANN 于 2018 年启动 DNSSEC 根区签名用硬件安全模块（HSM）的退役销毁工作，完成了 2017 年两次密钥仪式中发起的设备迁移与清零流程，确保根区信任链在硬件更新期不中断。
半年一度的根区签名仪式与 HSM 定位
每年两次，受信社区代表（TCR）在美国东西海岸两个数据中心聚会，按公开脚本完成根区密钥签名密钥（KSK）的签署仪式，过程全程直播可验证。HSM 作为专用加密计算设备，负责生成并保护签名所需的私钥材料，虽有观点认为其在当前操作模式下属于冗余，但现行流程仍强制要求四台设备（两地各两台）同时参与。
电池寿命预估驱动集中更换决策
四台 HSM 采购时间一致，内置电池厂商标称寿命 5-10 年。虽极不可能同步失效，但进入故障概率上升区间后，ICANN 于 2017 年两次仪式中增设步骤：将旧设备加密材料迁移至新采购 HSM，随后对原设备执行清零。清零后的旧设备暂存于保险柜，直至 2018 年决定销毁，首批销毁定于 2 月 7 日当周。
销毁前的替代方案讨论与 FIPS 140-2 认证
在 2 月 7 日前夕，TCR 曾讨论除物理销毁外的再利用可能。HSM 通过 FIPS 140-2 强化认证，具备抗未授权物理访问的密钥保护能力。原文未给出具体数据说明最终为何坚持销毁而非转用，但销毁操作本身旨在消除残留密钥材料被提取的理论风险，符合根区信任锚的零容忍安全模型。
对运维工程师而言，该案例展示了关键基础设施硬件全生命周期管理的实战范本：提前按组件寿命规划迁移、仪式化变更流程、清零验证与物理销毁形成完整链路，确保信任链在硬件更替期零中断、零泄露。
原文: APNIC Blog（2018-02-19）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog