Зона .pk в Пакистане получила подписание зоны, но проверку проходит только одно доменное имя
простыми словами
DNSSEC — это система безопасности, которая помогает компьютерам проверить, что адрес сайта ведет в нужное место. Теперь ею пользуется верхний уровень домена .pk в Пакистане. Однако проверка показала, что полностью настроен только один домен под .pk.
Подробное изложение
Зона .pk, в которую входят доменное имя Понятное человеку имя в интернете, состоящее из меток, разделенных точками. Полное определение термина доменное имя Пакистана с кодами стран, в начале октября 2026 года не была подписана DNSSEC расширения безопасности DNS Цифровые подписи, которые подтверждают, что ответы DNS подлинны и не изменены. Полное определение термина DNSSEC. В корневой зоне не было записи DS, а при отсутствии имени не было подписанного доказательства этого. Шесть дней спустя цепочка доверия Связанные подписи DNSSEC от корневой зоны до домена. Полное определение термина цепочка доверия от корня до .pk прошла проверку, и зона вошла в подписанную часть пространство имен Совокупность всех имен в одной системе имен, например в DNS. Полное определение термина пространство имен.
подписание зоны Добавление подписей DNSSEC ко всем записям зоны DNS. Полное определение термина подписание зоны верхнего уровня — это только первый шаг. Проверка 158 561 домена .pk 11 октября, через два дня после появления записи DS в корне, выявила ровно один домен, который проходит проверку от начала до конца. Это newspak.pk. Еще 1 230 доменов подписали свои зоны, но ждут записи DS, которой в зоне .pk пока нет. Ни один из примерно 1 360 имен под gov.pk и суффиксами провинциальных правительств не подписан полностью.
Ход событий можно проследить по открытым источникам. DNSViz показывал .pk как небезопасную зону весь сентябрь. Самые ранние подписи в зоне .pk датируются 8 октября, примерно за день до обновления корня. К 22:20 UTC 9 октября DNSViz отметил .pk как защищенную, и запись IANA Администрация адресного пространства интернета Функции, которые координируют корневую зону, IP-адреса и номера протоколов. Полное определение термина IANA для .pk показывает последнее обновление в тот же день. Зона использует алгоритм 13 (ECDSA P-256 с SHA-256) и NSEC и NSEC3 Next Secure and Next Secure version 3 Записи DNSSEC, которые доказывают, что имя или запись не существует. Полное определение термина NSEC и NSEC3 без дополнительных итераций и с пустой солью, как рекомендует RFC Request for Comments Пронумерованный документ из серии, в которой фиксируются технические стандарты и практики интернета. Полное определение термина RFC 9276.
Проверка охватывала две части каждой цепочки. Она запрашивала запись DS Delegation Signer Запись в родительской зоне, которая связывает ключ DNSSEC домена с цепочкой доверия. Полное определение термина запись DS, хранящуюся в зоне .pk, и запись DNSKEY Запись DNS с открытым ключом для проверки подписей DNSSEC в зоне. Полное определение термина запись DNSKEY в собственной зоне домена. Домен считался полностью подписанным, только если проходила вся цепочка от корня через .pk до домена. 1 230 доменов, которые подписали зоны, но не имеют DS у родителя, валидирующие резолвер DNS-сервер, который ищет доменные имена по запросам пользователей. Полное определение термина резолвер считают неподписанными, поскольку зона .pk возвращает подписанное доказательство того, что записи DS не существует. В их число входят accenture.pk и nexlinx.net.pk.
Остальная часть проверки выявила 117 572 имени (74%) без подписи, 25 875 имен, которые больше не существуют, и 13 883 имени, которые нельзя было классифицировать, поскольку их DNS-сервер Сервер, который хранит записи DNS домена и отвечает на запросы. Полное определение термина DNS-сервер были недоступны или не отвечали вовремя.
Разрыв между подписанием зоны и публикацией ее записи DS не нов. Исследование USENIX Security 2017 года по .com, .net и .org показало, что примерно у 30% подписанных доменов не было записи DS у родителя. Подписание зоны и передача ее записи DS родителю — разные задачи, которые выполняют разные стороны: владелец домена или DNS-провайдер Компания, которая обслуживает DNS-серверы домена и может не совпадать с регистратором. Полное определение термина DNS-провайдер генерирует ключи подписи. В случае .pk такие имена, как com.pk, org.pk, edu.pk и gov.pk, входят в саму зону .pk, поэтому все записи DS для них публиковала бы одна организация.