APNIC Labs 通过对比 RFC 8145 信任锚信号与 DNSSEC 验证测量两套数据集，发现仅 2% 解析器同时出现在两者中，且仅 5% 的可见验证解析器上报了 KSK-2017 信任信号，揭示根区密钥滚换信任度统计存在显著盲区。
数据来源与规模差异：
RFC 8145 数据集取自 2018 年 3 月 8 日至 9 日 24 小时的根服务器日志，包含 952,077 条记录；Ad-based 数据集覆盖 2018 年 1 月 1 日至 3 月 18 日的权威服务器查询，识别出 728,286 个唯一解析器 IP。合并后共有 1,438,109 个唯一 IP，但交集仅 33,485 个（2%）。RFC 8145 独有 709,821 个（49%），Ad-based 独有 694,803 个（48%），两套视角几乎不重叠。
信任信号上报率偏低：
从 Ad-based 视角看，728,288 个可见解析器中仅 33,485 个（5%）生成了 RFC 8145 信号。其余解析器要么不执行 DNSSEC 验证，要么运行的软件不支持 RFC 8145。Matt Larson 在 2018 年 3 月 DNS-OARC 28 会议上报告显示，随着 KSK-2017 在根区发布时间增长，上报信任 KSK-2017 的解析器比例反而相对下降，这一趋势与预期背离，原文未给出具体下降幅度。
测量盲区对滚换决策的影响：
两套数据集的低重合度表明，单一测量手段无法全景式覆盖验证解析器群体。RFC 8145 依赖解析器主动上报，覆盖面受限于软件部署进度；Ad-based 依赖主动查询权威服务器，可能遗漏仅转发不验证的解析器。2017 年 9 月因早期数据显示信任度不足而暂停 KSK 滚换，后续相对信任度下降趋势若持续，将增加重启滚换的风险评估难度。
运维人员需认识到当前信任度统计存在覆盖盲区，部署支持 RFC 8145 的解析器软件、在多维度数据源间交叉验证，是准确评估根区密钥滚换就绪程度的必要步骤。
原文: APNIC Blog（2018-04-11）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog