A zona .pk do Paquistão agora tem assinatura da zona, mas só um domínio valida
em linguagem simples
DNSSEC é um sistema de segurança que permite verificar se um endereço de site leva ao lugar certo. A extensão .pk, do Paquistão, agora usa esse sistema no nível mais alto. Mas uma varredura mostrou que apenas um domínio .pk está totalmente configurado.
Resumo completo
A zona .pk, que reúne os ccTLD domínio de topo de código de país Domínio de topo de um país ou território, normalmente com duas letras. Definição completa de ccTLD do Paquistão, não tinha DNSSEC extensões de segurança do DNS Assinaturas digitais que provam que as respostas DNS são autênticas e não foram alteradas. Definição completa de DNSSEC no início de outubro de 2026. Não havia registro DS Delegation Signer Registro na zona pai que liga a chave DNSSEC de um domínio à cadeia de confiança. Definição completa de registro DS na raiz nem prova assinada quando um nome não existia. Seis dias depois, a cadeia de confiança A série encadeada de assinaturas DNSSEC que vai da zona raiz até um domínio. Definição completa de cadeia de confiança da raiz até a .pk passou a validar, e a zona entrou na parte assinada do espaço de nomes Conjunto de todos os nomes de um sistema de nomes, como o DNS. Definição completa de espaço de nomes.
A assinatura da zona A inclusão de assinaturas DNSSEC em todos os registros de uma zona DNS. Definição completa de assinatura da zona de nível superior é apenas o primeiro passo. Uma varredura de 158.561 domínios .pk em 11 de outubro, dois dias depois de o registro DS aparecer na raiz, encontrou exatamente um domínio que valida de ponta a ponta. Esse domínio é newspak.pk. Outros 1.230 domínios assinaram suas próprias zonas, mas aguardam um registro DS que a zona .pk ainda não tem. Nenhum dos cerca de 1.360 nomes sob gov.pk e os sufixos de governos provinciais está totalmente assinado.
A cronologia pode ser reconstruída a partir de fontes públicas. O DNSViz mostrava a .pk como insegura durante todo setembro. As primeiras assinaturas na zona .pk datam de 8 de outubro, cerca de um dia antes de a raiz ser atualizada. Às 22:20 UTC de 9 de outubro, o DNSViz passou a classificar a .pk como segura, e o registro O banco de dados e o sistema centrais de um domínio de topo ou, em sentido mais amplo, a organização que os opera. Definição completa de registro da IANA Autoridade para Atribuição de Números da Internet Funções que coordenam a zona raiz, os endereços IP e os números de protocolo. Definição completa de IANA para a .pk mostra a última atualização no mesmo dia. A zona usa o algoritmo 13 (ECDSA P-256 com SHA-256) e NSEC e NSEC3 Next Secure and Next Secure version 3 Registros DNSSEC que provam que um nome ou registro não existe. Definição completa de NSEC e NSEC3 sem iterações adicionais e com salt vazio, como recomenda a RFC Request for Comments Um documento numerado da série que registra os padrões e as práticas técnicas da internet. Definição completa de RFC 9276.
A varredura verificou duas partes de cada cadeia. Consultou o registro DS mantido na zona .pk e o registro DNSKEY Um registro DNS com uma chave pública usada para verificar as assinaturas DNSSEC de uma zona. Definição completa de registro DNSKEY mantido na zona do próprio domínio. Um domínio só era contado como totalmente assinado se toda a cadeia, da raiz até a .pk e depois até o domínio, validasse. Os 1.230 domínios que assinam suas zonas, mas não têm DS no domínio pai, são tratados como não assinados pelos resolvedor O servidor DNS que consulta nomes de domínio em nome dos usuários. Definição completa de resolvedor que validam, porque a zona .pk devolve uma prova assinada de que não existe DS. Entre eles estão accenture.pk e nexlinx.net.pk.
O restante da varredura encontrou 117.572 nomes (74%) sem assinatura, 25.875 que não existem mais e 13.883 que não puderam ser classificados, porque seus servidor de nomes Servidor que guarda os registros DNS de um domínio e responde às consultas. Definição completa de servidor de nomes estavam inacessíveis ou excederam o tempo limite.
A lacuna entre assinar uma zona e publicar seu registro DS não é nova. Um estudo do USENIX Security de 2017 sobre .com, .net e .org constatou que cerca de 30% dos domínios assinados não tinham DS no domínio pai. Assinar uma zona e levar seu DS ao domínio pai são tarefas separadas, feitas por partes diferentes, e o dono do domínio ou o provedor de DNS Uma empresa que opera os servidores de nomes de um domínio, que pode ser diferente do registrador. Definição completa de provedor de DNS gera as chaves de assinatura. No caso da .pk, nomes como com.pk, org.pk, edu.pk e gov.pk fazem parte da própria zona .pk, de modo que todos os registros DS desses nomes seriam publicados por uma única organização.