SK-NIC ha annunciato un rafforzamento dei controlli sul registro centrale dei domini .sk, con effetti diretti sugli account dei registrar e sulle integrazioni tecniche che comunicano con il registry. Le misure riguardano autenticazione a due fattori, accesso EPP filtrato per indirizzo IP e aggiornamento dei cipher TLS ammessi. Per chi gestisce portafogli o infrastrutture per conto dei clienti, il punto pratico è verificare che procedure e sistemi siano allineati alle nuove condizioni.
Tre interventi su account, rete e cifratura
Il primo livello riguarda la console web dei registrar. La 2FA non può più essere disattivata sugli account dove è già attiva; il registro dichiara inoltre che sarà abilitata obbligatoriamente per tutti gli account interessati. La verifica aggiuntiva riduce il rischio che una password sottratta basti da sola per accedere agli strumenti di gestione. Per gli operatori, però, richiede anche account nominativi e procedure di recupero che non dipendano da una singola persona.
Il secondo intervento è rivolto all’interfaccia EPP, il protocollo usato dai registrar per automatizzare registrazioni, rinnovi, aggiornamenti e trasferimenti. SK-NIC restringe le connessioni agli indirizzi IPv4 e IPv6 inseriti nella lista autorizzata associata a ciascun account. Un cambio di rete, un nuovo nodo di elaborazione o un failover non censito può quindi interrompere le operazioni automatiche anche quando credenziali e applicazione sono corrette.
Il terzo livello riguarda TLS. Il registry elimina suite che non offrono forward secrecy o che non rientrano nei criteri AEAD indicati, comprese modalità CBC e cipher storici. Per TLS 1.2 restano alcune suite ECDHE o DHE con AES-GCM e ChaCha20-Poly1305; per TLS 1.3 sono elencate le suite AES-GCM e ChaCha20-Poly1305. Il dettaglio conta soprattutto per client EPP e librerie non aggiornati: una connessione può fallire durante la negoziazione TLS prima ancora che il registry valuti l’utente o l’indirizzo IP.
Leggi anche: .lk apre l’EPP ai registrar: che cosa cambia per l’accesso al registry
La comunicazione lascia un dubbio sulle date
L’avviso SK-NIC è datato 26 ottobre, ma nel testo compare un’incongruenza temporale da non ignorare. I singoli punti indicano il 29 settembre 2026 come data di attivazione o scadenza per 2FA, allowlist EPP e rimozione dei cipher; la chiusura dell’avviso afferma invece che le modifiche principali entreranno in vigore il 29 ottobre 2026. Quest’ultima data è ormai trascorsa, mentre la prima è precedente alla pubblicazione dell’avviso.
La pagina non chiarisce se il 29 settembre sia un errore redazionale, se alcune modifiche fossero già operative o se per i registrar sia previsto un periodo di transizione. Non è quindi prudente dedurre dalla sola comunicazione quale sia oggi lo stato effettivo di ogni account e di ogni endpoint. Gli operatori dovrebbero controllare le impostazioni nel portale, provare le connessioni EPP dalle reti autorizzate e chiedere conferma a SK-NIC per gli eventuali sistemi che non si collegano.
Questo passaggio è particolarmente rilevante per chi offre registrazione .sk tramite piattaforme multi-registro. Le liste IP possono essere gestite da account distinti e una allowlist incompleta può produrre un problema selettivo: alcune automazioni continuano a funzionare mentre altre operazioni, eseguite da un diverso nodo, vengono respinte. Analogamente, l’aggiornamento della libreria TLS in produzione dovrebbe essere validato insieme al fallback e al monitoraggio degli errori, non introdotto senza una prova sul flusso EPP reale.
Leggi anche: DNSSEC su .pk: cosa mostra la misurazione sulle zone firmate
Sicurezza del registry e continuità del servizio
Le tre misure agiscono su rischi diversi e si rafforzano a vicenda. La 2FA alza la protezione dell’identità che accede alla console; la lista IP riduce la superficie da cui una credenziale EPP può essere usata; la rimozione dei cipher datati modernizza il canale cifrato. Insieme, rendono meno affidabile un’integrazione costruita anni fa e mai più verificata, ma non dimostrano da sole che un account sia compromesso o che il registro abbia subito un incidente.
Per i registrar la priorità operativa è mantenere inventari aggiornati di utenti, indirizzi di uscita, client EPP e versioni TLS. Conviene includere anche gli ambienti di disaster recovery: se il sito principale è autorizzato ma il nodo di emergenza non lo è, una procedura di continuità può trasformarsi in un blocco proprio durante un incidente. La gestione delle credenziali di secondo fattore, le responsabilità dei turni e la verifica periodica delle liste IP diventano parte della normale manutenzione del servizio, non un’attività una tantum.
Per i titolari di domini, le impostazioni sono per lo più gestite dal registrar e non richiedono una modifica diretta ai record DNS. L’effetto può comunque emergere indirettamente: un problema di accesso all’EPP può ritardare rinnovi, cambi di nameserver o aggiornamenti anagrafici richiesti tramite il proprio fornitore. In caso di operazioni urgenti, è utile verificare con il registrar che l’account .sk e i suoi sistemi siano già conformi.
Leggi anche: Domain shadowing e DNS: perché il controllo della zona resta centrale
La lettura Webinvest
Per i registrar, l’annuncio va trattato come un aggiornamento infrastrutturale da verificare subito, ma la cronologia pubblicata da SK-NIC deve essere chiarita direttamente con il registry. Il tema non è soltanto adottare cipher più moderni: è dimostrare che autenticazione, indirizzi autorizzati e sistemi di emergenza funzionino insieme, senza lasciare account dipendenti da una singola persona o integrazioni che si scoprono incompatibili al momento di una modifica urgente. La sicurezza è efficace quando non riduce la capacità di mantenere operativi i domini.
Fonte: SK-NIC, “We are enhancing the security of the Central Register of .sk domains”.
← Tutte le news