资讯 · 行业新闻

DNS 根区密钥完成第二次轮换：部分开启 DNSSEC 的 Linux 系统受影响

10 月 11 日，DNS 根区启用新的密钥签名密钥 KSK-2024，这是根区第二次 KSK 轮换。ICANN 称整体按计划完成，但部分信任锚未更新的 Ubuntu、Debian 系统一度无法解析域名。

10 月 15 日，ICANN 发布公告：DNS 根区的密钥签名密钥（KSK）已于 10 月 11 日按计划完成轮换。这是继 2018 年之后，根区第二次更换这把位于 DNSSEC 信任链顶端的密钥。

ICANN 同时表示，已注意到轮换后有少量系统出现问题，正在评估它们和轮换的关系。从公开的缺陷报告看，受影响的主要是开启了 DNSSEC 校验、但内置信任锚没有及时更新的部分 Linux 系统。

KSK 是什么，为什么要换

DNSSEC 用数字签名保证解析结果在传输途中没有被篡改。校验从根区开始，逐级验证到顶级域，再到具体域名，形成一条「信任链」。根区没有上级，所以做 DNSSEC 校验的解析器必须事先内置根区 KSK 作为整条链的起点，这就是「信任锚」。

根区有两类密钥：区域签名密钥（ZSK）给根区数据签名，每三个月换一把新的；KSK 只给根区的密钥集签名，使用周期长得多。定期更换 KSK 是密码学上的安全惯例，也能检验各方软件和流程是否始终具备「换钥匙」的能力。

这次轮换的时间线

2024 年 4 月 26 日：新密钥 KSK-2024 生成，密钥标签（key tag）为 38696
2025 年 1 月 11 日：KSK-2024 发布进根区，进入预发布期
2025 年 2 月 10 日：按 RFC 5011 自动更新机制，解析器应开始信任新密钥
2026 年 10 月 11 日 14:00（UTC，北京时间 22:00）：KSK-2024 开始为根区签名，旧密钥 KSK-2017（标签 20326）停止签名
2027 年 1 月 11 日：计划吊销 KSK-2017
2027 年 3 月 22 日：计划把 KSK-2017 从根区移除

新密钥在根区预发布了约 21 个月，比 2018 年那次更长。IANA 的规划是以后大约每三年轮换一次；ICANN 预计下一次轮换约在 2029 年完成，届时签名算法还将从 RSA/SHA-256 换成 ECDSA。

谁会受影响

按 ICANN 7 月发布的说明，不做 DNSSEC 校验的解析器，以及已经信任新密钥的解析器，都不会感受到这次轮换。只信任旧密钥的解析器则会在轮换后 48 小时内陆续出错：根区密钥记录的缓存时间（TTL）是 48 小时，缓存过期、重新拉取密钥后就再也验证不过。

出错时的表现不是某一个网站打不开，而是几乎所有域名都解析失败：网页打不开或只显示一半，收不到新邮件，依赖 DNS 的自动化任务也会接连报错。

早在 2025 年 3 月，作为根服务器运营方之一的 Verisign 就观测到，发送信任锚信号的解析器中已有 91.3% 信任新密钥。真正的风险在长尾：那些不会自动更新、而是把信任锚写死在软件包里的系统组件。

实际出问题的地方

Ubuntu 的缺陷报告（Launchpad #2170538，10 月 12 日提交）显示：Ubuntu 24.04 和 22.04 自带的 systemd-resolved，内置信任锚只有旧密钥 20326。一旦开启 DNSSEC 校验，所有查询都会报「missing-key」，连没有签名的域名也解析不了。Ubuntu 默认不开启这项校验，大多数机器不受影响；但报告中有用户只在 VPN 链路上开了 DNSSEC，同样中招。两个版本的修复包已于 10 月 14 日发布。

在 IANA 的 ksk-rollover 邮件列表里，社区成员还提到 Debian 上开启 DNSSEC 的 dnsmasq 也受影响，同时认为正规的递归 DNS 服务器没有受到波及。有人建议下次轮换前，由 ICANN/IANA 提前几个月检查主流 Linux 发行版里的相关软件包。IANA 已于 10 月 15 日公开征集反馈，表示整理后会发布总结。

该怎么检查

自建解析器（BIND、Unbound、Knot Resolver 等）：确认信任锚里有密钥标签 38696。ICANN 的提醒是，不要想当然地认为自动更新一定成功了。
Ubuntu/Debian 主机：如果开过 systemd-resolved 的 DNSSEC 校验，先升级 systemd 软件包，重启服务后在日志里确认出现 38696；同时把 dns-root-data 包更新到最新。
容器和镜像：ICANN 特别提醒，容器化服务、使用 DNS-over-HTTPS 等私有解析配置的程序，可能在构建或部署时就固定了解析器，老镜像要重新构建并检查。
应急处理：如果解析已经全面失败，ICANN 给出的办法是暂时关闭 DNSSEC 校验，或为根区配置「否定信任锚」（RFC 7646），装好 KSK-2024 后再恢复校验。
记下两个日期：2027 年 1 月 11 日旧密钥吊销、3 月 22 日移除，届时再检查一次。

对域名持有人意味着什么

这次轮换改的是解析器一端的信任起点，域名持有人不需要改动自己域名的 DS 记录或 DNSSEC 设置。但它再次说明：DNSSEC 出问题时，常见症状是网站本身没坏却打不开，排查要从解析链路找起，而不只是看服务器。

对用户的提示

想确认自己域名的 DNSSEC 配置和解析是否正常，可以用泡米网免费的域名工具，查看 DNSSEC、DNS 记录、WHOIS 和 HTTPS 证书状态；证书快到期的，可以在泡米购买 SSL 证书。

域名分散在多个平台、解析设置不便统一核对的，可以通过批量转入集中到泡米管理；做运维自动化的团队，也可以用泡米的开发者 API 与 MCP，把域名查询接入自己的巡检脚本。