Summary

  • Um rascunho individual de 23 de outubro propõe registros DNS para conferir chaves e revogações de perfis usados para identificar quem publica conteúdo digital.
  • O titular de um domínio pode indicar, em um registro SVCB opcional, quais emissores de perfil principal aceita; uma credencial de outro emissor falharia diante de uma lista validada.

Imagine uma redação que encontra na portaria um crachá perfeitamente impresso para alguém que nunca convidou. A gráfica fez bem seu trabalho; a autorização continua sem dono. O rascunho apresentado por Shigeya Suzuki põe esse dono na discussão. Publicado em 23 de outubro, ele aparece no registro da IETF como Internet-Draft individual ativo, sem endosso formal da organização. Sua ambição declarada é experimental.

O Originator Profile Framework distribui papéis. Um emissor entrega ao publicador um Core Profile com as chaves públicas relacionadas às assinaturas de seu conteúdo. Outros emissores podem anexar atributos verificados. Para conferir se uma chave ainda vale, a proposta cria o registro OPKEY sob _op, com o resumo criptográfico da chave. O perfil completo não vai para o DNS. A ausência autenticada de certos registros indica cancelamento do perfil principal; um TXT separado sinaliza a revogação de uma anotação.

O gesto novo é oferecer ao próprio publicador uma lista de emissores autorizados em _op.<originator>. Esse registro SVCB, quando publicado e validado com DNSSEC, faz o verificador comparar o emissor apresentado no perfil com os nomes aceitos pelo domínio. O emissor pode ter credenciais no ecossistema e, ainda assim, ficar fora da lista daquela empresa. A lista é opcional. Se o caso de uso não a exigir e ela não existir de forma segura, o publicador não fica vinculado a um emissor específico. Não é um veto automático instalado por decreto técnico.

Há um preço operacional para uma porta que sabe distinguir nomes. OPKEY só pode ser usado com validação DNSSEC segura. Resposta sem segurança, prova inválida ou falha de resolução encerram a verificação; não autorizam tratar o registro como ausente. A lista SVCB opcional tem uma nuance: ausência comprovada pode deixar o publicador sem fixação de emissor, mas resposta corrompida ou tempo esgotado causa falha. Trocar esses estados seria como aceitar um visitante porque o telefone da portaria caiu.

E o crachá revogado ainda pode estar no bolso do cache. O texto usa uma hora para o tempo de vida dos registros e para a cache negativa como parâmetro proposto, não como prazo garantido. Uma resposta antiga pode persistir até vencer, assinaturas DNS capturadas têm sua própria validade, e respostas obsoletas podem prolongar a visibilidade. Em laboratório com valores de 60 segundos, a alteração apareceu em até 63 segundos por um resolvedor validador. A internet real ainda terá de mostrar seus números.