Le .pk du Pakistan adopte la signature de zone DNSSEC, mais un seul domaine est validé
en clair
Le DNSSEC est un système de sécurité qui permet aux ordinateurs de vérifier qu’une adresse de site mène au bon endroit. L’extension .pk du Pakistan l’utilise désormais au niveau le plus haut. Mais une analyse montre qu’un seul domaine sous .pk l’a mis en place entièrement.
Résumé complet
La zone .pk, qui regroupe les domaines en code pays du Pakistan, ne disposait pas de DNSSEC extensions de sécurité du DNS Signatures numériques qui prouvent que les réponses DNS sont authentiques et n'ont pas été modifiées. Définition complète du terme DNSSEC début octobre 2026. Elle n'avait pas d'enregistrement DS signataire de délégation Enregistrement de la zone parente qui relie la clé DNSSEC d'un domaine à la chaîne de confiance. Définition complète du terme enregistrement DS dans la racine ni de preuve signée lorsqu'un nom était absent. Six jours plus tard, la chaîne de confiance Série de signatures DNSSEC liées entre elles, de la zone racine jusqu'à un domaine. Définition complète du terme chaîne de confiance depuis la racine jusqu'à .pk a été validée : la zone avait donc rejoint la partie signée de l'espace de noms Ensemble de tous les noms d'un même système de nommage, comme le DNS. Définition complète du terme espace de noms.
La signature de la zone de premier niveau n'est que la première étape. Une analyse de 158 561 domaines .pk, réalisée le 11 octobre, soit deux jours après l'apparition de l'enregistrement DS dans la racine, n'a trouvé qu'un seul domaine validé de bout en bout. Il s'agit de newspak.pk. 1 230 autres domaines ont signé leurs propres zones mais attendent un enregistrement DS que la zone .pk ne contient pas encore. Aucun des quelque 1 360 noms sous gov.pk et les suffixes gouvernementaux provinciaux n'est entièrement signé.
La chronologie peut être reconstituée à partir de sources publiques. DNSViz indiquait .pk comme non sécurisé tout au long de septembre. Les premières signatures de la zone .pk datent du 8 octobre, environ un jour avant la mise à jour de la racine. À 22 h 20 UTC le 9 octobre, DNSViz a classé .pk comme sécurisé, et l'enregistrement IANA Autorité chargée de la gestion de l'adressage sur Internet Fonctions qui coordonnent la zone racine, les adresses IP et les numéros de protocole. Définition complète du terme IANA de .pk indique une dernière mise à jour le même jour. La zone utilise l'algorithme 13 (ECDSA P-256 avec SHA-256) et NSEC et NSEC3 Next Secure and Next Secure version 3 Enregistrements DNSSEC qui prouvent qu'un nom ou un enregistrement n'existe pas. Définition complète du terme NSEC et NSEC3 sans itération supplémentaire ni sel vide, conformément à la RFC Request for Comments Un document numéroté de la série qui consigne les normes et pratiques techniques d'Internet. Définition complète du terme RFC 9276.
L'analyse a vérifié deux parties de chaque chaîne. Elle a interrogé l'enregistrement DS présent dans la zone .pk et l'enregistrement DNSKEY Enregistrement DNS contenant une clé publique qui sert à vérifier les signatures DNSSEC d'une zone. Définition complète du terme enregistrement DNSKEY présent dans la zone propre au domaine. Un domaine n'était compté comme entièrement signé que si la chaîne complète, de la racine à .pk puis au domaine, était validée. Les 1 230 domaines qui signent leurs zones sans DS dans la zone parente sont considérés comme non signés par les résolveur Le serveur DNS qui recherche les noms de domaine pour le compte des utilisateurs. Définition complète du terme résolveur, car la zone .pk renvoie une preuve signée de l'absence de DS. Ils incluent accenture.pk et nexlinx.net.pk.
Le reste de l'analyse a relevé 117 572 noms (74 %) non signés, 25 875 noms qui n'existent plus et 13 883 noms qui n'ont pu être classés, leurs serveur de noms Serveur qui contient les enregistrements DNS d'un domaine et répond aux requêtes. Définition complète du terme serveur de noms étant injoignables ou ayant expiré.
L'écart entre la signature de zone Ajout de signatures DNSSEC à tous les enregistrements d'une zone DNS. Définition complète du terme signature de zone et la publication de son enregistrement DS n'est pas nouveau. Une étude USENIX Security de 2017 portant sur .com, .net et .org a montré qu'environ 30 % des domaines signés n'avaient pas de DS dans la zone parente. La signature de zone et l'envoi du DS à la zone parente sont deux tâches distinctes, confiées à des acteurs différents : le titulaire Personne ou organisation qui détient l'enregistrement d'un nom de domaine. Définition complète du terme titulaire du nom ou le fournisseur DNS Entreprise qui exploite les serveurs de noms d'un domaine et qui peut être distincte du bureau d'enregistrement. Définition complète du terme fournisseur DNS génère les clés de signature. Dans le cas de .pk, des noms comme com.pk, org.pk, edu.pk et gov.pk font partie de la zone .pk elle-même, de sorte que tous les enregistrements DS de ces noms seraient publiés par une seule organisation.