《International Journal of Information Management Data Insights》：A data-driven analysis of DNSSEC self-deployment among ICANN-accredited registrars
编辑推荐：
本文对ICANN认证注册商中DNSSEC（Domain Name System Security Extensions，域名系统安全扩展）自我部署情况进行了数据驱动分析。研究采用截至2025年6月的全部有效认证的横截面快照，将ICANN注册商认证列表与自动化D
本文对ICANN认证注册商中DNSSEC（Domain Name System Security Extensions，域名系统安全扩展）自我部署情况进行了数据驱动分析。研究采用截至2025年6月的全部有效认证的横截面快照，将ICANN注册商认证列表与自动化DNS测量及.com注册数据相结合。研究人员将3,018项认证聚合为698个注册商域名，并按DNSSEC状态对每个主域名进行分类。仅9.46%的注册商域名启用了DNSSEC；自我部署并不普遍。研究人员以管理的.com域名数量衡量注册商规模。在未调整分析中，规模较大的注册商更常部署DNSSEC。在对地理区域进行调整后，该关联减弱且不再显著。区域差异显著，在调整规模后仍然存在，并显示欧洲的采用率高于亚洲和北美。结果表明了关键中介机构在自身域名上呈现出何种与安全相关的配置。
**一、研究背景与问题**
数字基础设施的运行不仅依赖技术标准，还取决于组织如何将正式的制度期望转化为实际运营实践。一种安全机制可以已经存在、有完善文档并被机构鼓励，但组织是否采用它，远不止取决于技术可行性。理解此类期望如何嵌入或被排除在日常实践之外，已成为信息基础设施治理的核心议题。这一问题在依赖私营中介机构的基础设施生态中尤为突出，此类行为体在全球协调安排、监管框架与终端用户之间运作，同时对其自身技术配置保留相当大的自由裁量权。域名注册商是这类中介机构的典型代表，其核心职能是注册和管理域名，在此角色中既帮助客户配置和运营域名，又自身作为域名持有者和域名系统（Domain Name System，DNS）用户。因此，注册商与其客户处于相同的技术环境并面临类似的运营风险，其是否以及如何对自身域名应用此类措施，并非仅由其外部服务义务决定。
DNS是互联网命名与解析基础设施的基础组成部分，但其分布式和基于缓存的架构使其面临完整性风险，包括缓存投毒攻击。DNSSEC（Domain Name System Security Extensions，域名系统安全扩展）通过允许解析器对DNS响应进行密码学验证来应对此类风险，是一项成熟且定义明确的技术。本研究中的DNSSEC并非安全有效性或面向用户信任信号的代理指标，而是作为一项已确立的、可选的基础设施实践的可观察示例，需要刻意配置。文中"自我部署"指DNSSEC在注册商自身列出的主域名上启用，而非在客户域名上启用；该术语描述研究人员在何处观察到DNSSEC，并不说明由谁配置。此框架将DNSSEC自我部署与关于脱耦（decoupling）的组织文献相关联，后者考察正式政策、制度期望与实际运营实践之间的差距。这一联系是间接的：注册商认证协议（Registrar Accreditation Agreement，RAA）要求注册商为客户支持DNSSEC，但并未要求其为自身域名签名。因此，注册商可以完全合规而其主域名仍未签名。研究人员考察的是一种能力—内部使用差距，而非严格制度理论意义上的政策—实践差距：组织是否将必须向他人提供的安全能力应用于自身基础设施？脱耦文献在此作为这一差距的概念参照，而非声称注册商违反了正式义务。
DNSSEC在注册商层面的治理相关性源于注册商所处的制度框架。ICANN（Internet Corporation for Assigned Names and Numbers，互联网名称与数字地址分配机构）根据2013年RAA要求认证注册商支持DNSSEC，注册商必须接受来自注册人的DNSSEC数据并将其传递给注册局。该要求确立了技术能力的形式基线，同时将实际使用和内部部署的决策留给组织自身。既有DNSSEC研究涵盖协议设计、注册局和解析器层面的部署、域名持有者的采用、注册商实践以及委派数据中的不一致性；涉及注册商的研究往往强调面向客户的管理实践，而非注册商自身的基础设施选择。因此，关于注册商是否将安全能力应用于自身域名的实证证据仍然有限。
在此背景下，本研究提出问题：注册商是否为其主域名部署DNSSEC，若然，这种部署如何体现在可观察的配置实践中？研究人员研究ICANN认证的注册商，因而聚焦通用顶级域（generic top-level domain，gTLD）空间，不研究用户采用、国家代码顶级域（country-code top-level domain，ccTLD）激励计划或技术性能。研究评估内部部署的可观察差异是否与组织规模和地理背景相关，但不假定因果关系。论文的贡献有三：第一，使用可复现的测量方法对认证注册商的DNSSEC自我部署进行实证评估；第二，通过将DNSSEC自我部署作为正式可用的安全能力是否出现在注册商自身域名配置中的指标，推进以治理为导向的视角；第三，展示一种通过聚焦外部可观察的配置选择而非自我报告的合规声明来研究基础设施治理的方法论路径。
**二、关键技术方法**
研究采用截至2025年6月的横截面实证分析，技术路线包括：从ICANN官方注册商认证列表（2025年6月3日检索）提取国家字段和网站URL，使用tldextract库和公共后缀列表（Public Suffix List）派生可注册域名作为主域名，并通过基于规则的映射将自由文本国家名规范化为ISO 3166-1 alpha-2代码；通过测量主机的默认递归解析器查询每个主域名的DS（Delegation Signer）记录，以五秒查询时限判定DNSSEC状态，父区发布DS记录即视为启用；从ICANN 2024年月度.com注册局报告中提取各认证的平均.com管理域名数作为规模代理，截断为整数；按规范化主域名聚合共享同一主域名的多项认证，以最低IANA ID为主标识并求和.com域名数；统计分析采用Mann-Whitney U检验、logistic回归（以log??(size+1)为预测变量）、六区域列联表的卡方检验与Cramér's V、20,000次重抽样的置换检验、双侧Fisher精确检验以及联合logistic回归。数据来源为ICANN认证列表与.com注册局交易报告，完整脚本与数据存档于Zenodo。
**三、研究结果**
**DNSSEC部署概览。** 研究人员分析了截至2025年6月的3,018项具有可评估主域名的有效ICANN注册商认证。其中70项认证的主域名启用了DNSSEC，对应部署率2.32%。聚合后得到698个唯一注册商域名，70项启用DNSSEC的认证条目对应66个唯一注册商域名。注册商域名分布于76个国家，2个因缺乏地理分配被排除于国家和大陆分析之外，余696项具有有效国家和大陆信息。美国贡献215个域名（占数据集30.89%），但仅13个已签名（6.05%）；德国25个域名中5个已签名（20.00%）；英国在主要国家中比例最高，21个域名中9个已签名（42.86%）。按大陆划分，亚洲260个域名（37.36%）仅9个签名（13.64%）；北美255个域名（36.64%）贡献19个签名条目（28.79%）；欧洲154个域名（22.13%）中35个签名，占全部签名域名的53.03%以上，相对自身规模内部采用率最强，达22.73%。这些地理模式表明注册商域名的DNSSEC部署因区域而异。
**注册商规模与假设1。** 假设1（H1）认为规模较大的注册商更可能在其主域名上部署DNSSEC。由于规模分布强烈右偏（未签名组均值高于签名组但标准差和最大值更大，少数超大型未部署DNSSEC的注册商拉高了未签名均值），研究人员未依赖基于均值的比较，而是采用Mann-Whitney U检验和以log??(size+1)为预测变量的logistic回归。签名注册商的中位规模为13,633个.com域名，未签名者为1,888个，约七倍差异；检验确认签名注册商显著更大（U=24,820，单侧p=0.005），效应量为小到中等（秩双列r=0.19）。logistic回归方向一致，规模系数为正且显著（每十倍规模增加的比值比=1.18，95% CI [1.02, 1.36]，p=0.022）。部署率在规模上四分位更高，最大四分位达14.9%。二次规模项不显著（p=0.82），未发现非单调关系的稳健证据。综上，H1在未调整分析中得到支持；但如联合模型所示，一旦考虑地理区域，H1不再作为独立效应成立。
**地理区域与假设2。** 假设2（H2）假定注册商DNSSEC自我部署行为因地理区域而异。六区域列联表包含696个注册商域名，卡方检验得χ2=44.36（df=5，p<0.001），Cramér's V=0.25，为小到中等关联。由于三个区域（非洲、大洋洲、南美洲）的期望签名数低于5，违反Cochran规则，研究人员采用六区域统计量的置换检验（20,000次重抽样），结果拒绝独立性（p<0.001）。作为次要对比，欧洲与非欧洲注册商域名的2×2表经双侧Fisher精确检验显示欧洲部署更高：154个欧洲域名中35个签名（22.73%），其他地区542个中31个签名（5.72%）；比值比=4.85，p<0.001。DNSSEC自我部署与地理区域相关，欧洲注册商域名部署率显著更高。
**规模与区域的联合模型。** 前述检验分别评估H1和H2，但注册商规模与区域并非独立：规模在六区域间存在差异（Kruskal-Wallis H=29.5，p<0.001），欧洲注册商域名大于其他地区（中位12,922对1,339个.com域名；双侧Mann-Whitney p<0.001）。研究人员拟合了同时包含两个预测变量的logistic回归，并将区域合并为四类（EU、AS、NA、Other）以保持模型稳定。以亚洲为参照，区域仍与部署显著相关：欧洲注册商的部署比值比=7.60（95% CI [3.50, 16.46]，p<0.001）；区域的综合似然比检验显著（χ2=35.31，df=3，p<0.001；Wald χ2=33.15，p<0.001）。而规模系数不再显著（每十倍增加比值比=1.10，95% CI [0.95, 1.27]，p=0.22），给定区域下的规模检验不显著（χ2=1.56，df=1，p=0.21）。二元EU与非EU设定呈现相同模式（区域比值比=4.55，p<0.001；规模p=0.16）。联合模型的McFadden伪R2为0.09，优于仅截距模型（似然比p<0.001）。简言之，.com规模与部署的未调整关联在调整区域后减弱并失去显著性；在该横截面设计中，结果表明的是协变量调整下的衰减，而非正式的中介或解释。描述性上两个预测变量存在重叠：拥有较大.com组合的注册商不成比例地位于欧洲，而欧洲注册商域名更常启用DNSSEC。
**四、讨论与结论**
讨论部分指出，698个唯一注册商域名中仅66个在测量时启用了DNSSEC，聚合自我部署率为9.46%，是全部3,018项活跃认证未调整数字2.32%的四倍以上；差异源于列出同一主域名的多项认证，聚合数字对每个域名只计一次，并不对其背后的所有权作出主张。对信息管理而言，这一差异表明计数单位的选择如何改变观察到的采用率。H1在未调整分析中得到支持，但在调整区域后不再作为独立效应成立；研究人员将其解读为调整下的衰减，由于分析为横截面且区域是粗糙的复合变量，该结果并不表明区域因果性地解释了规模关联，两种解读仍然开放：较大注册商可能聚集在部署更常见的区域，或者.com规模在北美以外可能是更弱的代理。H2的区域关联在当前设定内统计上稳健，欧洲注册商域名的签名率接近非欧洲的四倍，但研究并未测量监管暴露、组织文化或内部决策，区域是捆绑了监管、市场和运营差异的复合变量，显著的地区系数确立的是区域关联而非制度机制；该模式与制度解释相符但并不证明之。注册商主域名上的DNSSEC虽不直接保护客户，却是注册商自身域名的可观察配置状态，表明父区为该域名发布了DS记录，但不显示由谁设置或维护配置，因为DNS托管可能位于提供商处；分类可能双向出错，查询失败会产生假阴性，DS记录存在但信任链断裂会产生假阳性，且流程未单独记录查询失败，故无法从2025年6月数据量化任一比例，9.46%的比率带有这种未量化的双向误差。面向客户的DNSSEC支持与DNSSEC自我部署之间的区分对解读发现很重要：注册商可能向客户提供DNSSEC相关功能而不在自身主域名上启用DNSSEC，先前研究表明注册商在提供、自动化和支持DNSSEC方面差异很大；本研究未对面向客户的DNSSEC服务供给进行分类，因此未检验服务提供与自我部署之间的关系。低自我部署率提示提供DNSSEC与在自身域名上使用它是两种不同实践，这就是引言中的能力—内部使用差距。大多数列出的注册商域名没有DS记录，尽管认证注册商必须为注册人支持DNSSEC，但RAA并未要求注册商自身域名启用DNSSEC。该差距存在于测量之日必须提供的能力与自身域名上的DNSSEC之间，并非技术能力缺失的标志；一种本研究无法检验的解释是，注册商自身域名上的DNSSEC与其他优先事项竞争，除非制度、经济或治理机制使其凸显，否则便一直搁置，数据不含优先排序、激励或决策的度量，故这仍是未来工作的假设。对信息管理研究而言，结果表明两件事可以分开研究：安全能力是否可用，以及行为体是否在其自身配置中使用它。局限性部分说明：研究仅聚焦从ICANN注册商认证数据集中网站URL派生的主域名的DNSSEC部署，不反映同一实体运营的其他域名的DNSSEC状态；仅覆盖ICANN认证注册商因而主要捕捉通过ICANN认证框架治理的gTLD注册商生态，不评估ccTLD特定的注册商激励计划或国家部署倡议；DNSSEC状态为单一时间点测量，无法捕捉临时配置变化或运营不稳定性，规模变量指2024年而DNSSEC状态指2025年6月，月度规模观测先于DNSSEC快照约6至17个月；规模仅基于2024年平均.com管理域名数，可能低估聚焦其他TLD的注册商，若组合构成因区域而异，.com规模可能低估北美以外注册商的组合，这可能促成调整区域后规模关联的衰减，交易数据指向同一方向，EU注册商的gTLD活动集中度较低，可能因其大部分业务位于gTLD注册局报告未覆盖的ccTLD；敏感性分析剔除无2024年报告的83个注册商域名（n=614）后模式不变（未调整规模比值比=1.23，p=0.023；调整后比值比=1.10，p=0.32；欧洲系数比值比=6.60，p<0.001），剔除全部111个规模为0的域名（n=586）同样如此（比值比1.31、1.16、8.11；p=0.008、0.19、<0.001）；地理归属依赖ICANN列表的国家/地区字段，ICANN未将其定义为法定所在地，也不必然对应注册商的技术运营或DNS基础设施，区域变量粗糙，故讨论中的制度解读作为解释而非发现提出；自我部署定义仅考虑注册商主域名的DNSSEC状态，未分析客户域名或评估DNSSEC是否通过其平台可用或积极推广；按标准化域名参考对多项认证分组可能无法捕捉组织结构的全部复杂性，未检验基于所有权的替代分组，基于域名的聚合按设计改变描述性比率（2.32%至9.46%），但未量化其对回归估计的影响，检验还将696个注册商域名视为独立，若干域名可能属于一个企业集团或共享一个DNS提供商，故标准误可能略小。
结论部分译为：本研究通过分析ICANN认证注册商主域名的DNSSEC状态，评估了其DNSSEC自我部署情况。使用698个注册商域名的标准化聚合数据集，研究人员发现仅9.46%启用了DNSSEC；认证层面的2.32%比率较低是因为对共享域名重复计数。假设1在未调整分析中得到支持：拥有较大.com组合的注册商更可能拥有DNSSEC启用的主域名；但它不作为独立效应得到支持，在调整地理区域后，规模关联减弱并失去统计显著性，而区域仍与部署显著相关。这种衰减部分可能反映基于.com的规模变量的测量误差，该变量可能低估北美以外注册商的组合，因此结果不应被解读为区域比规模更重要的证据。区域差异与制度解释相符，但由于区域是复合变量，它们并不证明制度机制。区域差异在统计上显著，分配给欧洲的注册商域名采用率高于分配给亚洲或北美的域名。虽然DNSSEC启用的主域名并不保护客户域名，但它是注册商自身域名的一种可观察且可验证的配置状态；它测量一个列出域名上的一项DNS完整性设置，不测量安全成熟度、服务韧性或用户信任，也不显示配置由注册商还是提供商运营。鉴于总体采用率低且集中于少数注册商域名，数据集中大多数注册商主域名未启用DNSSEC。注册商必须提供的能力与其在自身域名上使用的能力之间的差距可以被测量和复现；在上述限制内，它可为基准制定和治理讨论提供信息。RAA要求为注册人提供DNSSEC支持，但对注册商自身域名未设期望，在测量之日很少有列出的注册商域名拥有DS记录。这是否值得在未来认证讨论中关注是一个政策问题，本研究无法回答，因为它未测量注册商域名上的DNSSEC是否改善客户安全或运营；本文提出的测量方法至少可使该差距变得可观察。
