Resumo

  • O RFC 9567 permite que a resposta autoritativa anuncie, sem solicitação, um domínio de agente no EDNS Report-Channel. O resolvedor validador que atribui um Extended DNS Error cria então uma consulta TXT separada; o informe não conserta nem substitui a resposta original.
  • Não há autenticação de ponta a ponta entre resolvedor e agente. TCP ou DNS Cookies aumentam a confiança no endereço de origem, enquanto cache, limite do nome e julgamento operacional ainda determinam o que chega e o que pode virar ação.

Uma assinatura expira numa cópia autoritativa da zona. O servidor continua recebendo perguntas e enviando RRsets, portanto seus contadores podem parecer saudáveis. A ruptura só aparece quando um resolvedor confere a cadeia DNSSEC e recusa o material. Quem pode corrigir a zona não observa diretamente o ato que causou a indisponibilidade.

O RFC 9567 devolve esse conhecimento usando o próprio DNS. A resposta autoritativa pode levar a opção EDNS 18, Report-Channel, com o nome completo de um domínio de agente. A opção é espontânea: não precisa aparecer na pergunta e jamais deve ser enviada nela. A autoridade escolhe um destino; não obriga o resolvedor a falar.

Se o resolvedor suporta a função, está configurado para usá-la e classifica o problema com um Extended DNS Error, ele monta outra pergunta. Um EDE 7 para o tipo A de broken.test pode virar _er.1.broken.test.7._er.a01.agent-domain.example. A consulta pede TXT, mas nome, tipo e diagnóstico já estão inscritos no QNAME.

O retorno não altera o RCODE da resposta falha nem envia uma correção pelo mesmo caminho. É uma nova transação dirigida a outra autoridade. O RFC 9567 não define significado para o RDATA TXT. Uma resposta positiva encerra a consulta e oferece um TTL para amortecer repetições.

O canal distribui funções, não soberania

O operador autoritativo decide qual domínio anunciar. O resolvedor executa a validação, escolhe o EDE e aplica sua política de reporte. O agente recebe, avalia procedência e agrega. O dono da zona autoriza a correção. O formato comum não permite que um deles exerça silenciosamente o papel seguinte.

O registro DNS da IANA comprova que 18 significa Report-Channel e que _er tem uso TXT registrado. A inscrição evita colisão sem comprovar implementação, ativação, entrega ou verdade.

O EDE também é limitado. O RFC 8914 mantém o processamento do RCODE e acrescenta explicação. O RFC 9567 não decide o que deve ser erro e não exige que todos os resolvedores implementem todos os códigos. O agente recebe a afirmação de um processo: este resolvedor aplicou este código a este nome e tipo.

As regras de validação DNSSEC podem permitir reprodução independente de uma assinatura expirada ou de uma quebra DS/DNSKEY. Mas uma âncora de confiança local desatualizada também produz falha. Antes de tocar na zona, o agente precisa refazer a validação de outro ponto de vista.

Um incidente cabe no QNAME — até não caber

O nome do relatório combina _er, QTYPE decimal, os rótulos do nome que falhou, código EDE, outro _er e o domínio do agente. Não inclui classe DNS nem RCODE comum. O primeiro marcador mostra que o agente recebeu o nome completo, não um prefixo visto durante minimização; o segundo separa o incidente do endereço de retorno.

Se o QNAME montado ultrapassar 255 octetos, não pode ser enviado. O resolvedor também deve limitar profundidade ou custo, pois a resolução do agente pode falhar e criar outro relatório. Perder uma observação é preferível a transformar a falha em recursão infinita.

O agente não pode ser subdomínio da zona observada. A mesma pane não deve cortar sua rota de saída. Um nome curto preserva espaço para QNAMEs originais longos. A escolha do domínio é um controle de disponibilidade.

Origem alcançável não é diagnóstico autenticado

O RFC 9567 não autentica o resolvedor perante o agente. UDP aceita falsificação de endereço e uma fonte real pode se enganar. O resolvedor deveria usar DNS Cookies, DNS sobre TCP ou outro transporte orientado a conexão. Diante de UDP sem Cookie, o agente deveria devolver TC para exigir nova tentativa por TCP.

Esses mecanismos demonstram, em graus diferentes, que alguém recebe tráfego naquele endereço. Eles não certificam organização, cliente, estado das âncoras ou causa do EDE. Um endereço conhecido pode receber prioridade de análise, não autoridade para alterar produção.

A automação deve refletir essa escala. UDP sem Cookie abre uma observação. Cookie ou TCP aumenta confiança de origem. Vários resolvedores independentes, somados a uma reprodução limpa, abrem um incidente. A mudança da zona continua exigindo autorização e plano de reversão.

O cache reduz custo e apaga repetição

O agente deveria responder positivamente com TXT. O TTL impede que o mesmo resolvedor envie a mesma pergunta repetidamente. Essa economia torna o mecanismo viável, mas impede usar número de relatórios como número de usuários ou de tentativas.

NXDOMAIN pode bloquear ainda mais. O RFC 8020 permite aplicar a inexistência aos nomes inferiores, e o RFC 2308 guarda a negação. Uma resposta errada pode suprimir relatórios diferentes. Por isso, o agente não deve devolver NXDOMAIN aos nomes monitorados; um curinga positivo é uma opção.

Se a zona do agente for assinada, o RFC 8198 permite sintetizar negativas com NSEC ou NSEC3 já validados. Consultas seguintes podem não sair do resolvedor. O RFC 9567 menciona deixar o agente sem assinatura para evitar esse custo específico, mas mantém a validação normal: um domínio de vítima realmente assinado não pode ser tratado como inseguro por suposição.

Logo, silêncio não é sinônimo de cura. Pode ser reparo, TTL vigente, síntese negativa, agente indisponível, recurso desativado ou filtro contra abuso. A recuperação precisa ser medida pela volta de respostas validáveis, de uma visão independente.

A rota de retorno também pode atingir uma vítima

O QNAME entrega ao agente o nome, tipo e código do erro. Pode ainda expor uma âncora local obsoleta. Minimização reduz o que autoridades intermediárias enxergam, mas o destinatário final recebe o incidente inteiro.

Um atacante pode publicar uma zona quebrada e indicar como agente o domínio de uma vítima. Resolvedores abertos ou sondas distribuídas então mandam tráfego adicional àquele destino. Uma enxurrada falsa pode esconder a pane real. Limites de taxa, níveis de procedência, independência do domínio e validação externa são necessários.

O TXT de resposta também é dado hostil. Como o RFC não lhe dá semântica, o agente pode responder com valor fixo e interpretar somente os rótulos previstos. Registrar texto arbitrário como comando transformaria observabilidade em risco.

As distinções de Heng Lu entre código em execução, especificação mínima com decisão localizada e camadas de realidade mantêm cada fato no seu lugar. A norma define a gramática. A autoridade anuncia. O resolvedor observa. A rede entrega. O agente pondera. O operador corrige. O usuário volta, ou não, a validar.

Uma auditoria deve guardar separadamente resposta original, estado DNSSEC, agente anunciado, QNAME calculado, motivo de descarte, transporte, Cookie, TTL, reprodução independente, alteração e validação posterior. A nova pergunta é um retorno útil justamente porque não se proclama veredito final.