2010 年 7 月 DNS 根区签署 DNSSEC 确立了信任锚，使验证链得以从顶层向下延伸；2017 年 10 月计划的根区 KSK 翻滚要求所有验证解析器更新信任锚，否则将导致验证失败。
DNSSEC 签名与验证机制：
DNSSEC 为 DNS 响应附加数字签名，签名由区域私钥生成，对应公钥以 DNSKEY 记录形式存储在区域内。验证器获取公钥后需确认其真实性：X.509 体系依赖 CA 背书，DNSSEC 则由父区域通过 DS 记录为子区域公钥担保。根区处于层级顶端，无父区背书，其公钥必须预置为信任锚。验证过程从根信任锚出发，逐级校验父区对子区 DS 记录的签名，构建信任链，最终信任目标区域公钥并验证数据签名。原文未给出具体部署比例数据。
根区 KSK 翻滚的必要性与影响：
根区签名推动了下层 DNSSEC 部署，DANE（RFC 7671）等协议已利用 DNSSEC 直接认证 TLS 证书，减少对 CA 依赖。2017 年 10 月根区计划进行密钥签名密钥（KSK）翻滚，这是信任锚首次更换。所有启用 DNSSEC 验证的解析器必须在翻滚前获取新 KSK，否则将因信任锚不匹配导致验证失败，造成解析中断。原文未给出具体受影响解析器数量或失败率数据。
运维准备要点：
运维人员需确认解析器软件支持自动信任锚更新机制，并验证新 KSK 已被正确学习；若软件不支持自动更新，须在翻滚前手动导入新密钥。同时应监控验证失败率，建立回滚预案。原文未给出具体监控指标阈值、回滚时间窗口或自动更新机制的 RFC 编号。
根区 KSK 翻滚是 DNSSEC 信任链机制的首次实战考验，验证了自动信任锚更新能力，也暴露了部署链路中配置滞后的风险。工程师应将信任锚管理纳入常规运维，确保密钥翻滚不中断业务。
原文: APNIC Blog（2017-05-11）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog