Verisign 计划在 2023 年底前为 .com、.net、.edu 三个顶级域名更换 DNSSEC 签名算法，以支持更强的安全性并为下一代 DNS 安全措施铺路。绝大多数用户无感知，但技术社区需了解变更细节。
算法升级时间表与范围：
Verisign 将在未来几个月内启动升级，持续至 2023 年底。变更覆盖 .com、.net、.edu 三个由 Verisign 运营的 TLD。根区域于 2010 年由 ICANN 与 Verisign 共同签署 DNSSEC，随后 .edu 于 2010 年中、.net 于 2010 年底、.com 于 2011 年初引入 DNSSEC。此次算法更新旨在增强安全性并为更广泛的 DNSSEC 采用奠基。
二级域名签名增长的两个阶段：
自 TLD 首次签名以来，签名二级域名（SLD）数量经历两个明显阶段。第一阶段 2012-2020 年，.com 与 .net 均以年均约 0.1% 的基数增长，至 2020 年底分别达到 1% 与 1.2%。第二阶段始于 2020 年，主要归因于单一注册商对新注册域名默认启用 DNSSEC，.com 年增长率升至 0.9%，.net 升至 1.1%。目前 .com 已有 4.2% 的域名完成签名，.net 当前比例原文未给出具体数据。
对 DNS 技术社区的影响：
DNSSEC 通过信任链确保 DNS 响应的数据完整性，防止篡改与误导。算法升级不改变信任链结构，但要求验证端支持新算法。运营商、解析器开发商及域名持有者需确认软件兼容性，特别是密钥滚换与验证逻辑。Verisign 强调变更对终端用户透明，但技术社区应提前测试验证。
此次算法升级是 DNSSEC 演进的关键一步，虽对用户无感，却要求解析器、权威服务器与注册系统同步适配新算法。网络工程师应尽早验证软件栈兼容性，关注密钥滚换时间窗口，确保信任链在 2023 年底前平滑过渡。
原文: APNIC Blog（2023-09-19）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog