Resumen

  • ICANN abrió el 12 de octubre un periodo de comentarios sobre la evaluación de seguridad y estabilidad de Interisle Consulting Group para automatizar los registros DS de DNSSEC.
  • Interisle concluye que el mecanismo no plantea problemas significativos bajo las definiciones aplicables solo si se cumplen siete requisitos obligatorios y se documentan siete aspectos de la operación.
  • La consulta es una etapa de evidencia, no una autorización para desplegar: ICANN org debe emitir su propia conclusión y el texto contractual de la vía rápida llegará a otra consulta.

La condición se fijó antes de esta consulta. En septiembre de 2025, la Junta de ICANN aceptó el asesoramiento del SSAC y encargó a ICANN org crear una vía Fast Track dentro de la política RSEP para los operadores de registro únicamente si la organización no identifica problemas de seguridad o estabilidad. La misma resolución dice que los registradores pueden desplegar el servicio sin aprobación de ICANN. Un año después, la organización puso un análisis externo a disposición del público; no declaró satisfecha la condición.

El informe de Interisle, fechado el 23 de junio, examina una transferencia concreta. El operador de la zona hija publica registros CDS o CDNSKEY firmados. El registro de la zona padre o el registrador patrocinador puede recuperarlos y validarlos; solo el registro publica el DS resultante en la zona padre. El titular conserva la autoridad última sobre la configuración DNSSEC, mientras que operadores, registradores y registros controlan etapas distintas.

La entrada DS conecta la clave de una zona hija con la cadena de confianza de su padre. Automatizarla puede reducir demoras manuales, pero también convierte una señal de una organización en un cambio publicado por otra. Interisle estudia el mantenimiento normal de DS, el alta inicial y el paso a una delegación insegura. Deja fuera las API push o fuera de banda y CSYNC.

Los 18 hallazgos tienen distinto peso. Siete son obligatorios: validar el DS en el lado padre; mantener coherencia entre servidores autoritativos; permitir que el registrador se excluya; no suspender el mantenimiento ordinario solo por un bloqueo clientUpdateProhibited; conservar la gestión manual de DS; procesar correctamente una señal autenticada con algoritmo cero al retirar DNSSEC; y avisar al registrador cuando la automatización del registro usa EPP. Otros siete puntos requieren documentar decisiones del operador, como frecuencia de consulta, latencia, TTL y plazo de reversión, configuración multisignatario y canales de reporte. Cuatro recomendaciones exceden el mínimo, entre ellas detectar deriva y mantener TTL DS más cortos.

La conclusión de Interisle es condicional, no una certificación de cualquier implementación. El informe sostiene que el mecanismo no presenta problemas significativos de seguridad o estabilidad según las definiciones de RSEP si se satisfacen los requisitos y se documentan las divulgaciones. También señala tres asuntos pendientes: configuraciones multisignatario, observabilidad y el requisito de nombres de servidor firmados para una ruta de arranque.

La consulta pregunta si la evaluación identifica los riesgos pertinentes y si sus mitigaciones son suficientes, proporcionadas y viables. El plazo vence el 23 de noviembre de 2026; el informe de síntesis se espera para el 7 de diciembre. ICANN afirma que estudiará cambios, publicará un anexo con su revisión y presentará el borrador de cláusulas estándar Fast Track en un proceso posterior. La instrucción condicional de la Junta, el análisis del consultor, la decisión de ICANN org, el texto contractual y el despliegue de un operador son estados separados.

Fuentes