Pakistans .pk erhält DNSSEC-Signierung, aber nur eine Domain validiert vollständig
in einfachen worten
DNSSEC ist ein Sicherheitssystem, mit dem Computer prüfen können, ob eine Webadresse zum richtigen Ziel führt. Pakistans Domainendung .pk nutzt es jetzt auf oberster Ebene. Eine Prüfung ergab aber, dass nur eine einzige Domain unter .pk es vollständig eingerichtet hat.
Ausführliche Zusammenfassung
Die Zone .pk, in der die Domains Pakistans unter dem Ländercode liegen, war Anfang Oktober 2026 noch nicht mit DNSSEC Domain Name System Security Extensions Digitale Signaturen, die belegen, dass DNS-Antworten echt und unverändert sind. Vollständige Definition von DNSSEC abgesichert. Die Wurzelzone enthielt keinen DS-Record Delegation Signer Ein DNS-Record in der übergeordneten Zone, der den DNSSEC-Schlüssel einer Domain mit der Vertrauenskette verbindet. Vollständige Definition von DS-Record für sie, und es gab keinen signierten Nachweis, wenn ein Name fehlte. Sechs Tage später ließ sich die Vertrauenskette Die verketteten DNSSEC-Signaturen von der Root-Zone bis zu einer Domain. Vollständige Definition von Vertrauenskette von der Wurzel bis hinunter zu .pk validieren. Die Zone gehörte damit zum signierten Teil des Namensraums.
Die Signatur der Top-Level-Zone ist nur der erste Schritt. Ein Scan von 158.561 Domains unter .pk am 11. Oktober, zwei Tage nachdem der DS-Record in der Wurzel erschien, fand genau eine Domain, die Ende-zu-Ende validiert. Diese Domain ist newspak.pk. Weitere 1.230 Domains haben ihre Zonen zwar signiert, warten aber auf einen DS-Record, den die Zone .pk noch nicht führt. Keiner der rund 1.360 Namen unter gov.pk und den Suffixen der Provinzregierungen ist vollständig signiert.
Der zeitliche Ablauf Das Datum, an dem die Registrierung einer Domain endet, wenn sie nicht verlängert wird. Vollständige Definition von Ablauf lässt sich aus öffentlichen Quellen nachvollziehen. DNSViz zeigte .pk im gesamten September als unsicher. Die frühesten Signaturen in der Zone .pk stammen vom 8. Oktober, etwa einen Tag bevor die Wurzel aktualisiert wurde. Um 22:20 UTC am 9. Oktober meldete DNSViz .pk als sicher, und der IANA-Eintrag für .pk zeigt eine letzte Aktualisierung am selben Tag. Die Zone verwendet Algorithmus 13 (ECDSA P-256 mit SHA-256) sowie NSEC und NSEC3 Next Secure and Next Secure version 3 DNSSEC-Records, die belegen, dass ein Name oder ein Record nicht existiert. Vollständige Definition von NSEC und NSEC3 ohne zusätzliche Iterationen und mit leerem Salt, wie es RFC Request for Comments Ein nummeriertes Dokument der Reihe, in der die technischen Standards und Verfahren des Internets festgehalten werden. Vollständige Definition von RFC 9276 empfiehlt.
Der Scan prüfte zwei Teile jeder Kette. Er fragte den DS-Record in der Zone .pk und den DNSKEY-Record Ein DNS-Record mit einem öffentlichen Schlüssel, mit dem die DNSSEC-Signaturen einer Zone geprüft werden. Vollständige Definition von DNSKEY-Record in der eigenen Zone der Domain ab. Als vollständig signiert zählte eine Domain nur, wenn die gesamte Kette von der Wurzel über .pk bis zur Domain validierte. Die 1.230 Domains, die ihre Zonen signieren, aber keinen DS im übergeordneten Bereich haben, behandeln validierende Resolver Der DNS-Server, der Domainnamen im Auftrag der Nutzer auflöst. Vollständige Definition von Resolver als unsigniert, weil die Zone .pk einen signierten Nachweis liefert, dass kein DS existiert. Dazu gehören accenture.pk und nexlinx.net.pk.
Der Rest des Scans ergab 117.572 Namen (74 Prozent) ohne Signatur, 25.875 Namen, die nicht mehr existieren, und 13.883 Namen, die sich nicht einordnen ließen, weil ihre Nameserver Ein Server, der die DNS-Records einer Domain vorhält und Abfragen beantwortet. Vollständige Definition von Nameserver nicht erreichbar waren oder eine Zeitüberschreitung verursachten.
Die Lücke zwischen dem Signieren einer Zone und der Veröffentlichung ihres DS-Records ist nicht neu. Eine USENIX-Security-Studie von 2017 zu .com, .net und .org ergab, dass rund 30 Prozent der signierten Domains keinen DS im übergeordneten Bereich hatten. Das Signieren einer Zone und das Einbringen ihres DS in den übergeordneten Bereich sind getrennte Aufgaben, die von verschiedenen Parteien erledigt werden. Die Signaturschlüssel erzeugen der Domaininhaber Die Person oder Organisation, auf die ein Domainname registriert ist. Vollständige Definition von Domaininhaber oder der DNS-Anbieter Ein Unternehmen, das die Nameserver einer Domain betreibt und nicht der Registrar sein muss. Vollständige Definition von DNS-Anbieter. Bei .pk liegen Namen wie com.pk, org.pk, edu.pk und gov.pk selbst in der Zone .pk, sodass alle DS-Records für diese Namen von einer einzigen Organisation veröffentlicht würden.