---
id: "624cdceb-3fde-414f-bf4b-39dfd64f4c5a"
kind: "link"
title: "Зона .pk в Пакистане получила подписание зоны, но проверку проходит только одно доменное имя"
language: "ru"
section: "cctld"
date: "2026-10-20T17:27:21Z"
updated: "2026-10-20T17:27:21Z"
canonical: "https://tldlog.com/ru/l/zona-pk-pakistane-poluchila-podpisanie-zony-proverku/"
origin: "reviewed"
master: "https://tldlog.com/l/pakistans-pk-now-carries-dnssec-signing-only-one-domain/"
translations:
  en: "https://tldlog.com/l/pakistans-pk-now-carries-dnssec-signing-only-one-domain/"
  es: "https://tldlog.com/es/l/pakistan-activa-firma-zona-pk-solo-dominio-valida/"
  de: "https://tldlog.com/de/l/pakistans-pk-erhaelt-dnssec-signierung-aber-nur-domain/"
  fr: "https://tldlog.com/fr/l/pk-pakistan-adopte-signature-zone-dnssec-seul-domaine-est/"
  it: "https://tldlog.com/it/l/pk-ora-ha-firma-zona-dnssec-solo-dominio-validato/"
  pt-BR: "https://tldlog.com/pt/l/zona-pk-paquistao-agora-tem-assinatura-zona-so-dominio/"
  zh-Hans: "https://tldlog.com/zh/l/bajisitan-pk-qiyong-dnssec-qianming/"
source:
  name: "circleid.com"
  url: "https://circleid.com/posts/pakistans-.pk-is-now-dnssec-signed-but-only-one-domain-validates"
  language: "en"
  date: "2026-10-20T15:23:00Z"
---

# Зона .pk в Пакистане получила подписание зоны, но проверку проходит только одно доменное имя

## простыми словами

DNSSEC — это система безопасности, которая помогает компьютерам проверить, что адрес сайта ведет в нужное место. Теперь ею пользуется верхний уровень домена .pk в Пакистане. Однако проверка показала, что полностью настроен только один домен под .pk.

Зона .pk, в которую входят доменные имена Пакистана с кодами стран, в начале октября 2026 года не была подписана DNSSEC. В корневой зоне не было записи DS, а при отсутствии имени не было подписанного доказательства этого. Шесть дней спустя цепочка доверия от корня до .pk прошла проверку, и зона вошла в подписанную часть пространства имен.

Подписание зоны верхнего уровня — это только первый шаг. Проверка 158 561 домена .pk 11 октября, через два дня после появления записи DS в корне, выявила ровно один домен, который проходит проверку от начала до конца. Это newspak.pk. Еще 1 230 доменов подписали свои зоны, но ждут записи DS, которой в зоне .pk пока нет. Ни один из примерно 1 360 имен под gov.pk и суффиксами провинциальных правительств не подписан полностью.

Ход событий можно проследить по открытым источникам. DNSViz показывал .pk как небезопасную зону весь сентябрь. Самые ранние подписи в зоне .pk датируются 8 октября, примерно за день до обновления корня. К 22:20 UTC 9 октября DNSViz отметил .pk как защищенную, и запись IANA для .pk показывает последнее обновление в тот же день. Зона использует алгоритм 13 (ECDSA P-256 с SHA-256) и NSEC3 без дополнительных итераций и с пустой солью, как рекомендует RFC 9276.

Проверка охватывала две части каждой цепочки. Она запрашивала запись DS, хранящуюся в зоне .pk, и запись DNSKEY в собственной зоне домена. Домен считался полностью подписанным, только если проходила вся цепочка от корня через .pk до домена. 1 230 доменов, которые подписали зоны, но не имеют DS у родителя, валидирующие резолверы считают неподписанными, поскольку зона .pk возвращает подписанное доказательство того, что записи DS не существует. В их число входят accenture.pk и nexlinx.net.pk.

Остальная часть проверки выявила 117 572 имени (74%) без подписи, 25 875 имен, которые больше не существуют, и 13 883 имени, которые нельзя было классифицировать, поскольку их DNS-серверы были недоступны или не отвечали вовремя.

Разрыв между подписанием зоны и публикацией ее записи DS не нов. Исследование USENIX Security 2017 года по .com, .net и .org показало, что примерно у 30% подписанных доменов не было записи DS у родителя. Подписание зоны и передача ее записи DS родителю — разные задачи, которые выполняют разные стороны: владелец домена или DNS-провайдер генерирует ключи подписи. В случае .pk такие имена, как com.pk, org.pk, edu.pk и gov.pk, входят в саму зону .pk, поэтому все записи DS для них публиковала бы одна организация.

Источник: [circleid.com](https://circleid.com/posts/pakistans-.pk-is-now-dnssec-signed-but-only-one-domain-validates)