Resumo

  • Em 12 de outubro, a ICANN abriu consulta sobre a avaliação de segurança e estabilidade da Interisle Consulting Group para automatizar registros DS do DNSSEC.
  • A Interisle conclui que o mecanismo não apresenta problema significativo segundo as definições aplicáveis apenas se sete requisitos obrigatórios forem cumpridos e sete aspectos da operação forem documentados.
  • A consulta é uma etapa de análise das evidências, não uma autorização de implantação: a ICANN org ainda deve decidir, e a minuta contratual da via rápida será submetida mais adiante.

A condição foi estabelecida antes da consulta atual. Em setembro de 2025, o Conselho da ICANN aceitou recomendações do SSAC e instruiu a ICANN org a criar uma via Fast Track na política RSEP para operadores de registro somente se não identificasse problemas de segurança ou estabilidade. A mesma resolução informa que registradores podem implantar o serviço sem aprovação da ICANN. Um ano depois, a organização publicou uma avaliação externa para comentários, sem declarar que a condição já foi atendida.

Datado de 23 de junho, o relatório da Interisle examina uma transferência específica. O operador da zona filha publica registros CDS ou CDNSKEY assinados. O registro da zona pai ou o registrador patrocinador pode buscá-los e validá-los; só o registro publica o DS resultante na zona pai. O titular mantém a autoridade final sobre sua configuração DNSSEC, enquanto operadores, registradores e registros controlam etapas diferentes.

O DS conecta a chave da zona filha à cadeia de confiança da zona pai. A automação pode reduzir a espera por atualizações manuais, mas também converte um sinal emitido por uma organização em uma alteração publicada na zona de outra. A Interisle avalia a manutenção normal do DS, a configuração inicial e a transição para uma delegação insegura. APIs push, interfaces fora de banda e CSYNC ficam fora do escopo.

As 18 conclusões têm pesos diferentes. Sete requisitos são obrigatórios: validar o DS no lado pai; manter consistência entre servidores autoritativos; permitir que o registrador opte por não participar; não interromper a manutenção rotineira apenas por um bloqueio clientUpdateProhibited; preservar a gestão manual do DS; tratar corretamente um sinal autenticado com algoritmo zero ao sair do DNSSEC; e notificar o registrador quando a automação conduzida pelo registro usar EPP. Outros sete itens pedem que o operador documente escolhas como frequência de consulta, latência, TTL e prazo de reversão, validações adicionais, configuração com múltiplos signatários e canais de reporte. Quatro práticas recomendadas vão além do piso, entre elas detectar divergências e manter TTLs DS mais curtos.

A conclusão da Interisle é, portanto, condicional; não certifica qualquer implementação. O relatório afirma que o mecanismo não traz problema significativo de segurança ou estabilidade segundo as definições da RSEP se os requisitos forem atendidos e as divulgações documentadas. Ainda aponta três temas que exigem atenção: ambientes com múltiplos signatários, observabilidade e a exigência de servidores de nomes assinados em uma via de inicialização.

A consulta pergunta se a avaliação identificou os riscos relevantes e se as mitigações são suficientes, proporcionais e implementáveis. As contribuições podem ser enviadas até 23 de novembro de 2026; o relatório de síntese é esperado para 7 de dezembro. A ICANN diz que considerará revisões, publicará um adendo explicando sua análise e abrirá um procedimento posterior para a minuta de cláusulas padrão da Fast Track. A instrução condicional do Conselho, a conclusão do consultor, a decisão da ICANN org, o texto contratual e a implantação por um operador continuam sendo etapas distintas.

Fontes