IANA将DNS根区切换至新密钥KSK-2024

DNS 词汇表术语DNS 域名系统 将域名与计算机地址关联起来的互联网目录。 完整定义（DNS）根区 词汇表术语根区 DNS的最顶层，列出每个顶级域及其域名服务器。 完整定义（根区）于2026年10月11日开始使用新的密钥签名密钥KSK-2024进行签名，IANA 词汇表术语IANA 互联网号码分配机构 协调根区、IP地址和协议号的一组职能。 完整定义（IANA）当天确认完成切换。目前尚未有公开报告的重大故障。解析器 词汇表术语解析器 代表用户查询域名的DNS服务器。 完整定义（解析器）可能会在缓存中保留旧密钥列表长达两天，因此未更新系统的问题可能要稍后才会出现。

新密钥的密钥标签为38696，取代了先前的密钥。IANA表示，大多数用户应不会察觉任何变化。无法识别新密钥的解析器可能无法通过DNSSEC验证 词汇表术语DNSSEC验证 解析器检查DNS应答是否经过正确的DNSSEC签名。 完整定义（DNSSEC验证）。根密钥列表现已由KSK-2024签名，自2026年10月11日00:00 UTC起生效，而旧的KSK-2017（密钥标签20326）仍保留在列表中但未再签名。Google和Cloudflare的公共DNS解析器 词汇表术语公共DNS解析器 互联网上任何人都可以使用的DNS解析器。 完整定义（公共DNS解析器）已成功完成应答验证，不过Google仍提供了由KSK-2017签名的缓存版本。

截至周二上午，DNS-OARC 词汇表术语DNS-OARC DNS Operations, Analysis, and Research Center 汇集DNS运营者和研究者的机构，以其OARC研讨会闻名。 完整定义（DNS-OARC）的dns-operations邮件列表上尚无运营者发布关于此次切换的报告。其他地方出现了一些个别故障。10月12日，Zimbra论坛上有管理员报告，在运行Ubuntu 22.04或更早版本并进行DNSSEC验证的服务器上出现故障，称已签名的域名 词汇表术语域名 由以点分隔的标签组成、便于阅读的互联网名称。 完整定义（域名）自周日起无法解析，邮件也被卡住。ASUS论坛上一位用户称，路由器固件只认识旧密钥，因此启用验证后域名解析失败。

上一次根密钥更换发生在2018年10月11日。四天后，ICANN 词汇表术语ICANN 互联网名称与数字地址分配机构 协调全球DNS和gTLD政策的非营利组织。 完整定义（ICANN）报告了轻微故障，并表示快速修复已解决问题。旧的KSK-2010于2019年被撤销。下一次轮转已有计划，还将更改签名算法。ICANN在2月提出该方案，并打算不做改动地实施，即在2027年生成新的ECDSA密钥，而当前的RSA密钥将于2029年到期 词汇表术语到期 域名注册如不续费即告结束的日期。 完整定义（到期）。