Pakistán activa la firma de la zona .pk, pero solo un dominio valida
en claro
DNSSEC es un sistema de seguridad que permite a los ordenadores comprobar que una dirección web lleva al lugar correcto. La extensión .pk de Pakistán ya lo usa en su nivel superior. Pero un análisis halló que solo un dominio bajo .pk lo tiene configurado por completo.
Resumen completo
La zona .pk, que agrupa los dominios de códigos de país de Pakistán, no tenía DNSSEC extensiones de seguridad del DNS Firmas digitales que demuestran que las respuestas DNS son auténticas y no han sido modificadas. Definición completa de DNSSEC a principios de octubre de 2026. No tenía registro DS firmante de la delegación Registro de la zona padre que enlaza la clave DNSSEC de un dominio con la cadena de confianza. Definición completa de registro DS en la raíz ni prueba firmada cuando faltaba un nombre. Seis días después, la cadena de confianza Serie encadenada de firmas DNSSEC que va desde la zona raíz hasta un dominio. Definición completa de cadena de confianza desde la raíz hasta .pk quedó validada, por lo que la zona se había sumado a la parte firmada del espacio de nombres Conjunto de todos los nombres de un sistema de nombres, como el DNS. Definición completa de espacio de nombres.
Firmar la zona de primer nivel es solo el primer paso. Un análisis de 158.561 dominios .pk realizado el 11 de octubre, dos días después de que el registro DS apareciera en la raíz, encontró exactamente un dominio que valida de extremo a extremo. Ese dominio es newspak.pk. Otros 1.230 dominios han firmado sus propias zonas, pero esperan un registro DS que la zona .pk todavía no tiene. Ninguno de los unos 1.360 nombres bajo gov.pk y los sufijos de los gobiernos provinciales está firmado por completo.
La cronología puede rastrearse con fuentes públicas. DNSViz mostraba .pk como no seguro durante todo septiembre. Las primeras firma de la zona Añadir firmas de DNSSEC a todos los registros de una zona DNS. Definición completa de firma de la zona .pk datan del 8 de octubre, aproximadamente un día antes de que se actualizara la raíz. A las 22:20 UTC del 9 de octubre, DNSViz informó de que .pk era seguro, y el registro Base de datos y sistema centrales de un dominio de nivel superior o, de forma menos precisa, la organización que los gestiona. Definición completa de registro de la IANA Autoridad de Números Asignados en Internet Funciones que coordinan la zona raíz, las direcciones IP y los números de protocolos. Definición completa de IANA para .pk muestra una última actualización ese mismo día. La zona usa el algoritmo 13 (ECDSA P-256 con SHA-256) y NSEC y NSEC3 Next Secure and Next Secure version 3 Registros de DNSSEC que prueban que un nombre o un registro DNS no existe. Definición completa de NSEC y NSEC3 sin iteraciones adicionales y con una sal vacía, tal como recomienda la RFC Request for Comments Documento numerado de la serie que recoge los estándares y las prácticas técnicas de Internet. Definición completa de RFC 9276.
El análisis comprobó dos partes de cada cadena. Consultó el registro DS guardado en la zona .pk y el registro DNSKEY Registro DNS con una clave pública que sirve para comprobar las firmas DNSSEC de una zona. Definición completa de registro DNSKEY de la zona propia del dominio. Un dominio se contó como firmado por completo solo si toda la cadena, desde la raíz hasta .pk y hasta el dominio, validaba. Los 1.230 dominios que firman sus zonas pero no tienen DS en la zona superior son tratados como no firmados por los resolutor Servidor DNS que consulta los nombres de dominio en nombre de los usuarios. Definición completa de resolutor que validan, porque la zona .pk devuelve una prueba firmada de que no existe ningún DS. Entre ellos están accenture.pk y nexlinx.net.pk.
El resto del análisis encontró 117.572 nombres (el 74 por ciento) sin firmar, 25.875 que ya no existen y 13.883 que no pudieron clasificarse porque sus servidor de nombres Servidor que guarda los registros DNS de un dominio y responde a las consultas. Definición completa de servidor de nombres no respondían o agotaron el tiempo de espera.
La brecha entre firmar una zona y publicar su registro DS no es nueva. Un estudio de 2017 de USENIX Security sobre .com, .net y .org halló que alrededor del 30 por ciento de los dominios firmados no tenían DS en la zona superior. Firmar una zona y llevar su DS a la zona superior son tareas separadas, a cargo de partes distintas, y el titular Persona u organización a cuyo nombre está registrado un nombre de dominio. Definición completa de titular del dominio o el proveedor de DNS Empresa que opera los servidores de nombres de un dominio y que puede no ser el registrador. Definición completa de proveedor de DNS genera las claves de firma. En el caso de .pk, nombres como com.pk, org.pk, edu.pk y gov.pk forman parte de la propia zona .pk, así que todos los registros DS de esos nombres los publicaría una sola organización.