--- id: "624cdceb-3fde-414f-bf4b-39dfd64f4c5a" kind: "link" title: "巴基斯坦.pk已启用DNSSEC区域签名，但只有一个域名通过验证" language: "zh-Hans" section: "cctld" date: "2026-10-20T17:27:21Z" updated: "2026-10-20T17:27:21Z" canonical: "https://tldlog.com/zh/l/bajisitan-pk-qiyong-dnssec-qianming/" origin: "reviewed" master: "https://tldlog.com/l/pakistans-pk-now-carries-dnssec-signing-only-one-domain/" translations: en: "https://tldlog.com/l/pakistans-pk-now-carries-dnssec-signing-only-one-domain/" es: "https://tldlog.com/es/l/pakistan-activa-firma-zona-pk-solo-dominio-valida/" de: "https://tldlog.com/de/l/pakistans-pk-erhaelt-dnssec-signierung-aber-nur-domain/" fr: "https://tldlog.com/fr/l/pk-pakistan-adopte-signature-zone-dnssec-seul-domaine-est/" it: "https://tldlog.com/it/l/pk-ora-ha-firma-zona-dnssec-solo-dominio-validato/" pt-BR: "https://tldlog.com/pt/l/zona-pk-paquistao-agora-tem-assinatura-zona-so-dominio/" ru: "https://tldlog.com/ru/l/zona-pk-pakistane-poluchila-podpisanie-zony-proverku/" source: name: "circleid.com" url: "https://circleid.com/posts/pakistans-.pk-is-now-dnssec-signed-but-only-one-domain-validates" language: "en" date: "2026-10-20T15:23:00Z" --- # 巴基斯坦.pk已启用DNSSEC区域签名，但只有一个域名通过验证 ## 通俗解读 DNSSEC是一种安全机制，可以帮助电脑核实网址是否指向正确的地方。巴基斯坦的.pk域名后缀现在已在顶层使用该机制。但扫描发现，.pk下只有一个域名完整设置了它。 .pk区域包含巴基斯坦的国家代码域名，2026年10月初时尚未启用DNSSEC。根区中没有DS记录，域名不存在时也没有签名的否定存在证明。六天后，从根区到.pk的信任链通过验证，该区域因此加入了命名空间中已签名的部分。 仅为顶级区域签名只是第一步。10月11日，即根区出现DS记录两天后，对158,561个.pk域名的扫描发现，只有一个域名能够端到端通过验证，即newspak.pk。另有1,230个域名已为自己的区域签名，但仍在等待.pk区域尚未发布的DS记录。gov.pk和各省政府后缀下约1,360个名称中，没有一个完全签名。 时间线可以从公开来源追溯。DNSViz显示，.pk在整个9月都是不安全的。.pk区域中最早的签名产生于10月8日，比根区更新早约一天。协调世界时10月9日22:20，DNSViz将.pk报告为安全，IANA的.pk记录显示同一天有最后更新。该区域使用算法13（ECDSA P-256与SHA-256），并采用NSEC和NSEC3，无额外迭代，盐值为空，符合RFC 9276的建议。 扫描检查了每条信任链的两个部分：查询.pk区域中保存的DS记录，以及域名自身区域中的DNSKEY记录。只有整条从根到.pk再到域名的信任链全部通过验证，域名才被计为完全签名。那1,230个在父区域缺少DS记录的域名，被验证解析器视为未签名，因为.pk区域会返回签名的证明，表明不存在DS记录。其中包括accenture.pk和nexlinx.net.pk。 扫描的其余结果显示，117,572个名称（74%）未签名，25,875个已不存在，另有13,883个因域名服务器无法访问或超时而无法归类。 为区域签名与发布其DS记录之间存在差距，并非新问题。2017年，一项发表于USENIX Security的研究对.com、.net和.org进行了分析，发现约30%已签名的域名在父区域中没有DS记录。为区域签名和把DS记录送入父区域是两项独立工作，由不同方负责，域名持有人或DNS服务提供商生成签名密钥。就.pk而言，com.pk、org.pk、edu.pk和gov.pk等名称本身属于.pk区域，因此这些名称的所有DS记录都将由同一个机构发布。 来源： [circleid.com](https://circleid.com/posts/pakistans-.pk-is-now-dnssec-signed-but-only-one-domain-validates)