ICANN于今天宣布旨在保護域名系統(tǒng)的加密密鑰變更計劃現(xiàn)已被推遲。

密鑰更換涉及生成一個新的加密密鑰對，并將新的公共元素分配給經(jīng)由“域名系統(tǒng)安全擴展”(Domain Name System Security Extensions,DNSSEC)驗證后的解析器。根據(jù)目前使用DNSSEC驗證解析器的預(yù)估互聯(lián)網(wǎng)用戶數(shù)量，全球互聯(lián)網(wǎng)用戶中大約有四分之一，或7.5億人，將會受到KSK輪轉(zhuǎn)的影響。

KSK密鑰的變更或"輪轉(zhuǎn)"原本預(yù)期在10月11日進行，但由于近期獲取的數(shù)據(jù)顯示有一大批互聯(lián)網(wǎng)服務(wù)提供商(ISP)和網(wǎng)絡(luò)運營商還沒有針對密鑰輪轉(zhuǎn)做好準(zhǔn)備，因而密鑰輪轉(zhuǎn)需要推遲進行。這次新數(shù)據(jù)的獲取源于近期DNS協(xié)議中的一項功能使得解析器能夠向根服務(wù)器匯報哪些密鑰已進行了配置。

運營商尚未將新密鑰安裝進入其系統(tǒng)，原因有許多，例如：某些運營商的解析器軟件沒有進行正確設(shè)置；且近期發(fā)現(xiàn)一種廣泛使用的解析程序似乎無法按照預(yù)期計劃自動更換密鑰，其具體原因尚待審查。

ICANN目前正在通知其社群，包括安全與穩(wěn)定咨詢委員會(Securityand Stability Advisory Committee,SSAC)、地區(qū)互聯(lián)網(wǎng)域名注冊管理機構(gòu)(Regional Internet Registries,RIR)、網(wǎng)絡(luò)運營商團體(Network Operators Groups,NOGs)和其他相關(guān)方，請求他們幫助查找和解決問題。

與此同時，ICANN認為應(yīng)當(dāng)采取審慎態(tài)度遵守流程、推遲密鑰變更，而不是草率執(zhí)行變更，導(dǎo)致大量互聯(lián)網(wǎng)用戶受到負面影響。ICANN承諾將繼續(xù)向相關(guān)技術(shù)機構(gòu)進行宣傳和教育、溝通和接觸，確保他們對密鑰變更做好準(zhǔn)備。

ICANN總裁兼CEO馬躍然表示：

“維護域名系統(tǒng)的安全、穩(wěn)定和彈性是我們的核心使命。我們寧可采取審慎合理的態(tài)度，而不是在10月11日進行魯莽變更。當(dāng)我們發(fā)現(xiàn)了這些新問題后如果仍舊執(zhí)行輪轉(zhuǎn)，是不負責(zé)任的態(tài)度，因為這些新問題可能會影響輪轉(zhuǎn)取得成功，可能會給一大批終端用戶的能力造成負面影響。

密鑰輪轉(zhuǎn)的新日期目前尚未確定。ICANN首席技術(shù)官辦公室表示，目前希望能夠?qū)⒚荑€輪轉(zhuǎn)時間重新定在2018年第一季度，但這還要取決于我們對新信息是否能夠充分理解，并能夠盡可能多地緩和潛在故障。

ICANN將在獲得新信息后及時發(fā)布，并在適當(dāng)時宣布新的密鑰輪轉(zhuǎn)日期。

馬躍然表示：

“我們希望網(wǎng)絡(luò)運營商將利用這段額外時間來確保其系統(tǒng)已經(jīng)為密鑰輪轉(zhuǎn)做好了準(zhǔn)備。我們的測試平臺將幫助運營商確保其解析器能夠?qū)π旅荑€進行正確配置，我們將繼續(xù)與這些域名運營商進行接觸與交流。

關(guān)于DNSSEC

為了在互聯(lián)網(wǎng)上方便地識別資源，這些資源背后的號碼地址現(xiàn)已被可讀字符串所替代。分布式層級化的域名系統(tǒng)(DNS)則負責(zé)將這些字符串轉(zhuǎn)換為號碼。自1983年設(shè)計完成以來，計算和網(wǎng)絡(luò)技術(shù)變得日益復(fù)雜，這使得這一"網(wǎng)絡(luò)電話簿"很容易受到襲擊。為了應(yīng)對這些威脅，國際標(biāo)準(zhǔn)組織互聯(lián)網(wǎng)工程任務(wù)組(IETF)開發(fā)了DNSSEC，采用加密方式來確保DNS的內(nèi)容不會在未經(jīng)探測的情況下從源頭上被修改。DNSSEC一旦得到全面部署，將使得襲擊者無從對DNS用戶進行重定向。

相關(guān)閱讀：

域名保護鎖是什么