zh

ICANN 本周将撤销旧密钥签名密钥

2019 年 01 月 7 日

Paul HoffmanPaul Hoffman, Distinguished Technologist

如果您关注了 2018 年 10 月 11 日启动的新根区密钥签名密钥 (KSK) 轮转,您可能会认为这个流程现在已经完成。其实不然,我们还需要执行一些技术上的重要措施,才能完成 KSK 轮转。其中一项措施便是撤销旧密钥,这项措施将于 2019 年 1 月 11 日执行。

目前,根区包含两类 KSK,即旧 KSK(称为"KSK-2010")和新 KSK(称为"KSK-2017")。自从轮转流程启动以来,我们就一直仅使用 KSK-2017 为根区的密钥集(包含根区中的所有域名系统安全扩展 (DNSSEC) 密钥)签名。既然 KSK-2010 不再用于生成签名,现在是时候将这类密钥标记为"已撤销",并将它们从根区中移除了。

在从根区中彻底移除 KSK-2010 之前,我们希望将这类密钥标记为"已撤销",以便让所有遵循"自动更新 DNSSEC 信任锚"标准 (RFC 5011) 的解析器能够加以识别。将旧密钥标记为"已撤销"后,任何使用 RFC 5011 的系统都会将 KSK-2010 视为无效,且今后不会再信任这类密钥。撤销标记将一直显示到 2019 年 3 月 22 日,届时,KSK-2010 将从根区中彻底地永久移除。

撤销后,根区密钥集的大小将会略微增加。ICANN 组织期望撤销过程可以顺利完成。不过,这是我们首次撤销域名系统 (DNS) 根区中的 KSK,因此,ICANN 组织和 DNS 技术社群将在公布 KSK-2010 撤销后的至少 48 小时内密切关注事态发展。

ICANN 组织强烈鼓励供应商停止在他们的产品中提供 KSK-2010。同样地,目前仍在手动维护 DNS 根信任锚清单的所有人员都应从他们的配置中移除 KSK-2010。

我们将通过 ksk-rollover@icann.org 电子邮件清单报告所发现的任何重大问题,这个电子邮件清单是沟通 KSK 轮转事宜所采用的常规方式。

Distinguished Technologist

Paul Hoffman

Read biographyRead biography