巴基斯坦.pk已启用DNSSEC区域签名，但只有一个域名通过验证

.pk区域包含巴基斯坦的国家代码域名 词汇表术语域名 由以点分隔的标签组成、便于阅读的互联网名称。 完整定义（域名），2026年10月初时尚未启用DNSSEC 词汇表术语DNSSEC 域名系统安全扩展 证明DNS应答真实且未被篡改的数字签名。 完整定义（DNSSEC）。根区 词汇表术语根区 DNS的最顶层，列出每个顶级域及其域名服务器。 完整定义（根区）中没有DS记录 词汇表术语DS记录 委派签名者 父区域中将域名的DNSSEC密钥连入信任链的记录。 完整定义（DS记录），域名不存在时也没有签名的否定存在证明。六天后，从根区到.pk的信任链 词汇表术语信任链 从根区一直延伸到某个域名的一系列相互关联的DNSSEC签名。 完整定义（信任链）通过验证，该区域因此加入了命名空间 词汇表术语命名空间 某个命名系统（如DNS）中所有名称的集合。 完整定义（命名空间）中已签名的部分。

仅为顶级区域签名 词汇表术语区域签名 为DNS区域中的所有记录添加DNSSEC签名。 完整定义（区域签名）只是第一步。10月11日，即根区出现DS记录两天后，对158,561个.pk域名的扫描发现，只有一个域名能够端到端通过验证，即newspak.pk。另有1,230个域名已为自己的区域签名，但仍在等待.pk区域尚未发布的DS记录。gov.pk和各省政府后缀下约1,360个名称中，没有一个完全签名。

时间线可以从公开来源追溯。DNSViz显示，.pk在整个9月都是不安全的。.pk区域中最早的签名产生于10月8日，比根区更新早约一天。协调世界时10月9日22:20，DNSViz将.pk报告为安全，IANA 词汇表术语IANA 互联网号码分配机构 协调根区、IP地址和协议号的一组职能。 完整定义（IANA）的.pk记录显示同一天有最后更新。该区域使用算法13（ECDSA P-256与SHA-256），并采用NSEC和NSEC3 词汇表术语NSEC和NSEC3 Next Secure and Next Secure version 3 用于证明某个名称或记录不存在的DNSSEC记录。 完整定义（NSEC和NSEC3），无额外迭代，盐值为空，符合RFC 词汇表术语RFC Request for Comments 记录互联网技术标准和实践的系列文件中的一份编号文件。 完整定义（RFC） 9276的建议。

扫描检查了每条信任链的两个部分：查询.pk区域中保存的DS记录，以及域名自身区域中的DNSKEY记录 词汇表术语DNSKEY记录 存放公钥、用于核验某个区DNSSEC签名的DNS记录。 完整定义（DNSKEY记录）。只有整条从根到.pk再到域名的信任链全部通过验证，域名才被计为完全签名。那1,230个在父区域缺少DS记录的域名，被验证解析器 词汇表术语解析器 代表用户查询域名的DNS服务器。 完整定义（解析器）视为未签名，因为.pk区域会返回签名的证明，表明不存在DS记录。其中包括accenture.pk和nexlinx.net.pk。

扫描的其余结果显示，117,572个名称（74%）未签名，25,875个已不存在，另有13,883个因域名服务器 词汇表术语域名服务器 保存域名DNS记录并应答查询的服务器。 完整定义（域名服务器）无法访问或超时而无法归类。

为区域签名与发布其DS记录之间存在差距，并非新问题。2017年，一项发表于USENIX Security的研究对.com、.net和.org进行了分析，发现约30%已签名的域名在父区域中没有DS记录。为区域签名和把DS记录送入父区域是两项独立工作，由不同方负责，域名持有人或DNS服务提供商 词汇表术语DNS服务提供商 为域名运行域名服务器的公司，可能并非注册服务机构。 完整定义（DNS服务提供商）生成签名密钥。就.pk而言，com.pk、org.pk、edu.pk和gov.pk等名称本身属于.pk区域，因此这些名称的所有DS记录都将由同一个机构发布。