Il .pk ora ha la firma della zona DNSSEC, ma solo un dominio è validato
in parole semplici
DNSSEC è un sistema di sicurezza che permette ai computer di verificare che un indirizzo di un sito porti al posto giusto. Il dominio .pk del Pakistan ora lo usa al livello più alto. Però una scansione ha rilevato che un solo dominio sotto .pk lo ha configurato del tutto.
Sintesi completa
La zona .pk, che raccoglie i ccTLD dominio di primo livello nazionale Un dominio di primo livello di un paese o territorio, di solito di due lettere. Definizione completa del termine ccTLD del Pakistan, non aveva il DNSSEC estensioni di sicurezza del DNS Firme digitali che dimostrano che le risposte DNS sono autentiche e non modificate. Definizione completa del termine DNSSEC all'inizio di ottobre 2026. Nella radice non c'era alcun record DS Delegation Signer Record nella zona padre che collega la chiave DNSSEC di un dominio alla catena di fiducia. Definizione completa del termine record DS e, quando un nome mancava, non esisteva una prova firmata della sua assenza. Sei giorni dopo, la catena di fiducia La serie collegata di firme DNSSEC che va dalla zona radice fino a un dominio. Definizione completa del termine catena di fiducia dalla radice fino a .pk è stata validata, quindi la zona è entrata nella parte firmata dello spazio dei nomi L'insieme di tutti i nomi di un sistema di denominazione, come il DNS. Definizione completa del termine spazio dei nomi.
Firmare la zona di primo livello è solo il primo passo. Una scansione di 158.561 domini .pk l'11 ottobre, due giorni dopo la comparsa del record DS nella radice, ha trovato esattamente un dominio validato dall'inizio alla fine. Si tratta di newspak.pk. Altri 1.230 domini hanno firmato le proprie zone, ma attendono un record DS che la zona .pk non ha ancora. Nessuno dei circa 1.360 nomi sotto gov.pk e sotto i suffissi dei governi provinciali è completamente firmato.
La cronologia può essere ricostruita da fonti pubbliche. DNSViz mostrava .pk come non sicuro per tutto settembre. Le prime firme nella zona .pk risalgono all'8 ottobre, circa un giorno prima dell'aggiornamento della radice. Alle 22:20 UTC del 9 ottobre DNSViz ha indicato .pk come sicuro, e il record IANA Internet Assigned Numbers Authority Funzioni che coordinano la zona radice, gli indirizzi IP e i numeri di protocollo. Definizione completa del termine IANA di .pk riporta un ultimo aggiornamento nello stesso giorno. La zona usa l'algoritmo 13 (ECDSA P-256 con SHA-256) e NSEC3 senza iterazioni aggiuntive e con un salt vuoto, come raccomanda la RFC Request for Comments Un documento numerato della serie che raccoglie gli standard e le pratiche tecniche di internet. Definizione completa del termine RFC 9276.
La scansione ha verificato due parti di ogni catena. Ha interrogato il record DS presente nella zona .pk e il record DNSKEY Un record DNS che contiene una chiave pubblica usata per verificare le firme DNSSEC di una zona. Definizione completa del termine record DNSKEY presente nella zona del dominio. Un dominio è stato considerato completamente firmato solo se l'intera catena, dalla radice a .pk fino al dominio, risultava valida. I 1.230 domini che firmano le proprie zone ma non hanno un DS nella zona padre sono considerati non firmati dai resolver Il server DNS che cerca i nomi a dominio per conto degli utenti. Definizione completa del termine resolver che validano, perché la zona .pk restituisce una prova firmata che nessun DS esiste. Tra questi ci sono accenture.pk e nexlinx.net.pk.
Il resto della scansione ha rilevato 117.572 nomi (il 74 per cento) non firmati, 25.875 che non esistono più e 13.883 che non è stato possibile classificare perché i loro name server Server che contiene i record DNS di un dominio e risponde alle interrogazioni. Definizione completa del termine name server non erano raggiungibili o andavano in timeout.
Il divario tra la firma di una zona e la pubblicazione del suo record DS non è nuovo. Uno studio della USENIX Security del 2017 su .com, .net e .org ha rilevato che circa il 30 per cento dei domini firmati non aveva un DS nella zona padre. Firmare una zona e portare il suo DS nella zona padre sono compiti separati, svolti da soggetti diversi: il assegnatario La persona o l'organizzazione che detiene la registrazione di un nome a dominio. Definizione completa del termine assegnatario o il provider DNS Un'azienda che gestisce i name server di un dominio e che può essere diversa dal registrar. Definizione completa del termine provider DNS genera le chiavi di firma. Nel caso di .pk, nomi come com.pk, org.pk, edu.pk e gov.pk fanno parte della zona .pk stessa, quindi ogni record DS per questi nomi sarebbe pubblicato da un'unica organizzazione.