Il Pakistan ha portato il proprio dominio nazionale .pk nella catena di fiducia DNSSEC. Ma l’attivazione del registro è solo il primo passaggio: in una scansione pubblicata il 20 ottobre, basata su 158.561 nomi esaminati l’11 ottobre, appena uno risultava validante dall’apice DNS fino alla zona del singolo dominio. Il dato descrive una fotografia iniziale, raccolta due giorni dopo la comparsa del record DS nella radice, e non un censimento completo dell’intero spazio .pk.
Per i titolari di domini e per chi gestisce portafogli internazionali, il caso è utile perché rende visibile una distinzione spesso trascurata: firmare la propria zona non equivale a completare DNSSEC. Serve anche che la chiave sia collegata correttamente al livello superiore.
La firma del ccTLD è arrivata in ottobre
Secondo la ricostruzione di CircleID, il 5 ottobre .pk non aveva ancora un DS pubblicato nella root né chiavi DNSKEY nella propria zona. Le firme comparse l’8 ottobre hanno preceduto di circa un giorno l’aggiornamento del record nella radice. Il 9 ottobre, dopo l’inserimento del DS, gli strumenti di osservazione hanno iniziato a mostrare la catena .pk come sicura. La chiave usa ECDSA P-256 con SHA-256; per provare l’inesistenza dei nomi è impiegato NSEC3.
Questo passaggio consente ai resolver che validano DNSSEC di verificare che le risposte ricevute per .pk non siano state alterate lungo il percorso. Non protegge automaticamente ogni dominio registrato sotto il ccTLD: ciascuna zona figlia deve essere firmata e il relativo DS deve essere pubblicato nella zona padre.
Leggi anche: DNSSEC e rollover della chiave radice: cosa devono controllare registri e resolver
Il punto critico: 1.230 firme senza collegamento al parent
Nel campione, 1.230 domini pubblicavano già record DNSKEY e avevano una zona firmata, ma mancava il DS corrispondente in .pk. Senza quel collegamento, il resolver non può costruire una catena verificabile fino alla radice: il dominio viene trattato come non firmato. Il conteggio equivale allo 0,78% del campione. Tra gli esempi citati figurano nomi sotto .pk, .com.pk, .edu.pk, .org.pk, .gov.pk e .net.pk.
Il risultato non va letto come prova di un guasto del DNSSEC. La firma locale può essere corretta; il problema è il passaggio amministrativo e tecnico del DS al registro. In molti sistemi l’invio passa dal registrar, e un titolare può non sapere che occorre completarlo o non trovare un flusso semplice nel pannello. Anche un cambio di provider DNS o una rotazione delle chiavi richiedono aggiornamenti coerenti: un DS non più corrispondente può rendere le risposte invalide per i resolver che applicano la verifica.
La stessa scansione ha classificato 117.572 nomi come non firmati, 25.875 come non più esistenti e 13.883 come non classificabili a causa di timeout o nameserver irraggiungibili. Queste ultime categorie non sono equivalenti: in particolare, i timeout non dimostrano che un dominio sia privo di DNSSEC.
Un campione, non una misura definitiva del registro
La zona .pk non è pubblicata integralmente e non consente trasferimenti di zona aperti; gli autori non possono quindi certificare che l’elenco dei 158.561 nomi coincida con tutte le registrazioni attive. Inoltre, la rilevazione è stata effettuata a ridosso dell’attivazione: alcuni titolari potrebbero aver aggiunto il DS dopo l’11 ottobre. Per misurare i progressi serve una nuova scansione comparabile, con data, copertura e criteri di classificazione dichiarati.
Un elemento operativo favorevole è che i nomi .com.pk, .org.pk, .edu.pk e .gov.pk menzionati nell’analisi non sono deleghe DNS separate: appartengono alla zona .pk. Il registro può dunque intervenire sul DS in un unico livello amministrativo, invece di coordinare registri distinti per ciascun suffisso di secondo livello. La priorità pratica è identificare le zone già firmate, informare titolari e registrar e rendere l’invio del DS verificabile e ripetibile.
Leggi anche: ICANN apre il dossier sull’automazione dei record DS DNSSEC
Automazione e responsabilità condivisa
L’articolo di CircleID indica come opzioni il supporto all’invio DS tramite EPP e meccanismi di aggiornamento automatico basati su CDS/CDNSKEY. L’automazione può ridurre gli errori manuali, ma non elimina la necessità di controlli: un aggiornamento errato della catena può interrompere la risoluzione per gli utenti che validano. Per questo registro, registrar e provider DNS dovrebbero rendere chiari lo stato della firma, la ricezione del DS e gli esiti delle modifiche alle chiavi.
Per l’investitore, il segnale non è che i domini .pk siano improvvisamente più o meno sicuri in assoluto. È un promemoria da inserire nella due diligence tecnica: sapere chi ospita i DNS, se la zona è firmata, se il DS compare nel parent e chi è responsabile dei rinnovi e delle rotazioni. Una registrazione valida e un sito raggiungibile oggi non garantiscono da soli che la catena resti coerente dopo un trasferimento o una migrazione.
La lettura Webinvest
Il dato più interessante è la distanza fra disponibilità tecnica e adozione effettiva. Oltre mille zone del campione hanno già svolto il lavoro di firma, ma non risultano collegate al parent. Questo suggerisce che il prossimo progresso dipende soprattutto da procedure di provisioning accessibili e da una collaborazione concreta fra titolari, registrar e PKNIC. La fotografia è iniziale e parziale; una rilevazione successiva dirà se il collo di bottiglia si sta riducendo.
Fonte: CircleID, “Pakistan’s .PK Is Now DNSSEC-Signed, but Only One Domain Validates”.
← Tutte le news