新聞

網際網路號碼分配局（IANA）宣布，DNS根區域（Root Zone）自10月11日起改由新金鑰KSK-2024負責簽署，取代原本的KSK-2017，這是繼2018年首次輪替後，時隔8年再次更換根區域金鑰。IANA提醒，啟用DNSSEC驗證卻未更新信任錨（Trust Anchor）的DNS解析器，可能無法驗證根區域資料，導致網域名稱解析失敗，但預期多數使用者不會受到影響。

DNS根區域位於網域名稱系統最上層，負責提供.com和.org等頂級網域的查詢資訊。DNS安全擴充（DNSSEC）透過數位簽章確認DNS資料的來源與完整性，防止查詢資料遭到竄改。根區域的金鑰簽署金鑰（Key Signing Key，KSK）是DNSSEC信任鏈的起點，解析器必須信任根區域金鑰，才能沿著信任鏈，逐層驗證受到DNSSEC保護的網域資料。

新金鑰KSK-2024的金鑰標籤為38696，舊金鑰KSK-2017則為20326，10月11日切換後，新金鑰開始負責簽署根區域的DNSKEY紀錄集，舊金鑰停止簽署。若解析器仍只信任舊金鑰，就可能因簽章驗證失敗而回傳SERVFAIL錯誤，對使用該解析器的用戶而言，即使網站正常運作，也可能因無法取得網域名稱的解析結果而無法連線。

IANA早在2024年就已發布新信任錨，並於2025年1月將KSK-2024加入DNS根區域，讓解析器有時間更新，支援並啟用RFC 5011自動更新機制的解析器，可在確認新金鑰後自動更新信任錨，不必由管理員手動更換。不過，若自動更新未正常運作，或解析器使用過時的信任錨設定，仍可能在切換後發生驗證問題。

ICANN提醒DNSSEC驗證解析器的管理員，應檢查信任錨設定是否包含KSK-2024，要是缺少新金鑰，應確認自動更新功能是否正常，或依照解析器軟體供應商的指引更新信任錨。

依IANA公布的時程，舊金鑰KSK-2017仍保留在DNS根區域，預計2027年1月11日撤銷，並於同年3月22日移除。