Resumo

  • A primeira chave de assinatura da raiz não foi criada no mesmo instante em que a zona assinada entrou em operação. A cerimônia de 16 de junho em Culpeper gerou a KSK-2010; a de 12 de julho em El Segundo incorporou a chave à instalação ocidental e avançou outra etapa operacional.
  • A IANA data a primeira raiz assinada em produção em 15 de julho de 2010. Roteiros, funções separadas, representantes externos, câmeras, hashes e registros tornaram parte da custódia examinável, mas não provaram que todos os resolvedores validavam DNSSEC.

Três datas para três tarefas

Em 15 de julho de 2010, a IANA anunciou que a zona raiz estava assinada. A nota descrevia uma mudança nos dados publicados pela raiz. Não dizia que todos os resolvedores recursivos do mundo haviam ativado a validação, algo que uma cerimônia tampouco poderia impor a operadores independentes.

O arquivo da IANA separa esse marco de duas cerimônias. A primeira ocorreu em 16 de junho, na instalação Leste de Culpeper, na Virgínia. A segunda foi em 12 de julho, em El Segundo, na Califórnia. A cronologia do lançamento coloca a primeira raiz assinada em produção no dia 15. Gerar e usar a chave sob controles, preparar uma segunda instalação e iniciar o caminho de assinatura em produção foram trabalhos distintos.

A primeira cerimônia começou às 17h UTC de 16 de junho e atravessou a meia-noite. Uma apresentação contemporânea da ICANN registra o encerramento às 00h25 UTC do dia 17. Documentos posteriores que usam 17 de junho como data da geração podem estar registrando o fim da mesma sessão, não um evento diferente.

Culpeper: gerar a chave e documentar a custódia

Os objetivos publicados eram específicos: ativar a instalação Leste de gerenciamento de chaves, gerar a KSK-2010 e assinar as chaves de assinatura de zona (ZSK) do terceiro trimestre. A KSK assina o conjunto DNSKEY da raiz; outra ZSK assina os registros da zona raiz. O DNSSEC encadeia assinaturas entre níveis, mas isso não significa que a KSK assine diretamente cada registro DNS.

A IANA mantém roteiros, manifestos SHA-256, uma imagem ISO, três gravações de câmera e o log kskgen-20100616-211906.log. É possível comparar as etapas planejadas com os artefatos publicados. Esse arquivo não transforma quem o consulta à distância em testemunha de cada ação física, nem prova sozinho que nada ocorreu fora das câmeras. Seu valor é deixar um rastro documental que outras pessoas podem examinar.

A divisão de papéis também fazia parte da proteção. O anúncio de 7 de junho da ICANN falava em 14 Trusted Community Representatives, sem vínculo empregatício com ICANN, VeriSign ou o Departamento de Comércio dos EUA, cada um com uma função distinta. Uma apresentação da ICANN38 contou depois 16 representantes presentes em categorias como Crypto Officers, Recovery Key Share Holders e substitutos. Um número se refere aos voluntários anunciados; o outro, às pessoas atribuídas a funções naquela sessão. Não são contagens contraditórias da mesma população. Também havia funcionários, auditor, representante da VeriSign e operador de câmera.

El Segundo: incorporar uma segunda instalação

A segunda cerimônia aconteceu em 12 de julho na instalação Oeste de El Segundo, com início registrado às 20h UTC. Seus objetivos incluíam ativar o local, importar a KSK-2010 e assinar as ZSK do quarto trimestre. A página da IANA lista roteiros, somas de verificação, vídeos e o log ksrsigner-20100712-224426.log.

A atualização de lançamento da IANA diz que materiais da chave foram transportados para o oeste, importados ou replicados no local, e que o processo de assinatura do trimestre seguinte avançou. A VeriSign aceitou a resposta assinada. O segundo local, portanto, entrou na operação; não foi uma sala montada apenas para a fotografia. As fontes tampouco permitem afirmar que houve uma única cópia da chave durante todo o ciclo de vida. Elas descrevem uma estrutura controlada entre instalações.

Dois locais ajudam na continuidade, mas tornam a custódia mais complexa. É preciso saber o que foi copiado, quem pode autorizar o uso e como recuperar a operação se um site falhar. Separação de funções, ensaios, equipamento seguro, logs e auditoria buscavam dificultar ações unilaterais e tornar o trabalho rotineiro reproduzível.

Assinar a raiz não significa que o mundo inteiro validou

Depois do anúncio de 15 de julho, mudanças na raiz ficaram brevemente suspensas até o dia 20 para observar efeitos e corrigir eventuais problemas. A pausa mostra que produzir assinaturas e operá-las com segurança são tarefas separadas. Os dados ainda precisavam ser distribuídos, e cada operador de resolvedor tinha de decidir se validaria as respostas.

O relatório da NTIA de 28 de maio descrevia a divisão então prevista: IANA/ICANN cuidava da KSK; a VeriSign assinava e distribuía a zona completa com ZSK; e a NTIA autorizava mudanças na raiz conforme o arranjo vigente. O documento anterior ao lançamento dizia que alguns testes de autorização ainda não estavam completos em maio. É evidência do desenho e do trabalho pendente naquele momento, não de que todas as verificações já tivessem passado. As atualizações de julho registram a conclusão do lançamento.

Câmeras, hashes, representantes independentes e materiais de auditoria criaram um contorno público em torno de uma operação que precisava manter a chave privada. A documentação permite comparar o procedimento anunciado aos registros preservados. Não resolve todas as questões políticas sobre quem deve administrar a raiz, nem comprova adoção mundial. Um resolvedor sem validação não recebe proteção DNSSEC só porque a cerimônia foi bem conduzida.

A conclusão deve ficar na escala que as fontes sustentam. A cerimônia não decretou que a Internet confiava em uma organização. Ela gerou a chave em um processo documentado; o segundo local entrou na cadeia de custódia e assinatura; depois, a produção publicou a raiz assinada. Pela lente de Heng Lu, a coordenação precisa ser julgada pelo resultado operacional: a resposta assinada foi aceita pelo mantenedor da zona raiz e os dados puderam ser distribuídos. Isso é mais sólido que afirmar que houve adoção universal.

As rotações de 2016–18 e a futura transição da KSK tratam de trocar uma chave já implantada e verificar se os resolvedores acompanham a mudança. Em 2010, a questão vinha antes: como gerar, guardar, transferir e operar a primeira autoridade criptográfica da raiz deixando evidência suficiente para que outros possam examinar o processo?

Fontes

Contexto posterior complementar; não serve como prova dos fatos de 2010