--- id: "42c79885-2bc1-48dc-ac0c-0815a1d83bef" kind: "link" title: "IANA将DNS根区切换至新密钥KSK-2024" language: "zh-Hans" section: "security" date: "2026-10-14T07:20:43Z" updated: "2026-10-14T07:20:43Z" canonical: "https://tldlog.com/zh/l/iana-genqu-qiehuan-ksk-2024/" origin: "reviewed" master: "https://tldlog.com/l/iana-switches-dns-root-zone-new-signing-key-ksk-2024/" translations: en: "https://tldlog.com/l/iana-switches-dns-root-zone-new-signing-key-ksk-2024/" es: "https://tldlog.com/es/l/iana-cambia-zona-raiz-dns-nueva-clave-firma-ksk-2024/" de: "https://tldlog.com/de/l/iana-stellt-dns-root-zone-neuen-signierschluessel-ksk-2024/" fr: "https://tldlog.com/fr/l/iana-remplace-cle-signature-zone-racine-dns-ksk-2024/" it: "https://tldlog.com/it/l/iana-sostituisce-chiave-firma-ksk-2024-zona-radice-dns/" pt-BR: "https://tldlog.com/pt/l/iana-troca-zona-raiz-dns-nova-chave-assinatura-ksk-2024/" ru: "https://tldlog.com/ru/l/iana-perevodit-kornevuyu-zonu-dns-novyy-klyuch-podpisi-ksk/" source: name: "Domain Brief" url: "https://domainbrief.de/artikel/der-schluesselwechsel-der-root-zone-ist-ohne-groessere-bekannte-stoerungen-angel" language: "de-DE" date: "2026-10-14T06:00:00Z" --- # IANA将DNS根区切换至新密钥KSK-2024 ## 通俗解读 互联网域名的地址簿使用一把特殊密钥来证明其应答真实可靠。2026年10月11日，这把密钥被换成了新的。大多数人不会察觉，但一些老旧的电脑和路由器可能无法加载网站或邮件。 DNS根区于2026年10月11日开始使用新的密钥签名密钥KSK-2024进行签名，IANA当天确认完成切换。目前尚未有公开报告的重大故障。解析器可能会在缓存中保留旧密钥列表长达两天，因此未更新系统的问题可能要稍后才会出现。 新密钥的密钥标签为38696，取代了先前的密钥。IANA表示，大多数用户应不会察觉任何变化。无法识别新密钥的解析器可能无法通过DNSSEC验证。根密钥列表现已由KSK-2024签名，自2026年10月11日00:00 UTC起生效，而旧的KSK-2017（密钥标签20326）仍保留在列表中但未再签名。Google和Cloudflare的公共DNS解析器已成功完成应答验证，不过Google仍提供了由KSK-2017签名的缓存版本。 截至周二上午，DNS-OARC的dns-operations邮件列表上尚无运营者发布关于此次切换的报告。其他地方出现了一些个别故障。10月12日，Zimbra论坛上有管理员报告，在运行Ubuntu 22.04或更早版本并进行DNSSEC验证的服务器上出现故障，称已签名的域名自周日起无法解析，邮件也被卡住。ASUS论坛上一位用户称，路由器固件只认识旧密钥，因此启用验证后域名解析失败。 上一次根密钥更换发生在2018年10月11日。四天后，ICANN报告了轻微故障，并表示快速修复已解决问题。旧的KSK-2010于2019年被撤销。下一次轮转已有计划，还将更改签名算法。ICANN在2月提出该方案，并打算不做改动地实施，即在2027年生成新的ECDSA密钥，而当前的RSA密钥将于2029年到期。 来源： [Domain Brief](https://domainbrief.de/artikel/der-schluesselwechsel-der-root-zone-ist-ohne-groessere-bekannte-stoerungen-angel) ## 其他来源 - [webhosting.today](https://webhosting.today/2026/10/09/the-dns-root-changes-its-key-on-sunday-a-resolver-that-still-trusts-only-the-old-one-stops-resolving-everything/) (英语报道) - [icann.org](https://www.icann.org/resources/pages/ksk-rollover-en) (英语报道)