Resumo

  • A captura de 12 de setembro encontrou 150 arquivos de dados de DNS reverso no diretório do LACNIC, organizados em 75 pares de nomes, com 150 assinaturas destacadas e uma chave pública no mesmo local.
  • O par examinado tinha bytes idênticos e o MD5 publicado correspondia ao conteúdo recebido. Isso valida uma comparação de arquivo, não a composição de uma geração inteira.
  • A falta de manifesto não prova omissão, assinatura inválida nem falha de DNS. Ela deixa sem recibo assinado apenas o fechamento do lote para quem baixa tudo.

O diretório público do LACNIC oferece uma resposta razoável para a pergunta pequena. Quem procura 002-LACNIC encontra o arquivo, a assinatura .asc, a linha .md5 e uma chave pública próxima. Cada elemento pode ser recuperado sem depender do restante do conjunto.

A pergunta grande fica aberta: o que o publicador considerava o conjunto completo naquele ciclo?

Às 15h21 UTC de 12 de setembro, o índice capturado exibia 150 nomes de dados. Setenta e cinco seguiam o padrão de três dígitos, como 002-LACNIC; outros 75 usavam a forma DNS correspondente, como 2.in-addr.arpa-LACNIC. Todos os nomes numéricos tinham seu par. Havia ainda 150 nomes terminados em .asc, 151 em .md5 e o arquivo PUBLIC_KEY. A contagem de MD5 incluía a entrada curinga vazia *-LACNIC.md5 mostrada pelo índice.

Não aparecia nome contendo README, manifesto, índice SHA-256 ou marcador de release. Trata-se de uma fotografia HTTP, não de uma auditoria do gerador interno. Por isso, a ausência pública não autoriza dizer que o LACNIC trabalha sem controles privados.

O teste de um par

Os dois arquivos da amostra tinham 2.222 bytes e o mesmo SHA-256. O MD5 divulgado para 002-LACNIC coincidiu com o cálculo local. Os horários Last-Modified ficaram separados por um segundo.

Nada nessa diferença de um segundo indica defeito. Pode ser apenas a escrita sucessiva de dois nomes de compatibilidade. O resultado demonstra que aquele par era idêntico no momento da captura. Não compara os outros 74 pares e não cria uma regra eterna de igualdade.

O conteúdo observado traz $ORIGIN . e linhas de delegação NS. Ele não é uma consulta ao DNS autoritativo em operação, nem comprova que todos os servidores carregaram a mesma versão. Publicação de arquivo, ativação autoritativa e resposta vista por resolvedores precisam de evidências próprias.

A assinatura não sabe quantos vizinhos deveria ter

O RFC 9580 descreve assinaturas OpenPGP destacadas sobre dados externos. Com a chave aceita e a verificação efetivamente executada, esse mecanismo pode vincular uma assinatura a um arquivo específico.

O ambiente desta apuração não dispunha de verificador OpenPGP. Portanto, não se afirma que a assinatura examinada seja válida, inválida ou que a chave adjacente tenha qualquer problema. O fato verificável é que o LACNIC publica os materiais para um fluxo de autenticação por arquivo, uma escolha que merece ser preservada.

Mesmo uma assinatura válida de 002-LACNIC não enumera os outros 149 nomes da geração. O índice HTML informa o que estava visível no instante da visita, enquanto os cabeçalhos HTTP informam propriedades da entrega. Nenhum deles é, no pacote capturado, uma declaração assinada de completude.

O MD5 também não desempenha esse papel. O RFC 6151 rejeita seu uso quando se exige resistência a colisões e admite funções limitadas de detecção de erro. A correspondência da amostra é uma boa checagem de transporte. Não autentica o emissor e não avisa se o espelho chegou cedo demais.

A melhor justificativa para arquivos independentes

Talvez o produto seja deliberadamente granular. Um operador pode conhecer o fragmento de que necessita e não ter motivo para copiar o diretório inteiro. Arquivos independentes são mais fáceis de armazenar em cache, atualizar e recuperar. Exigir um pacote indivisível poderia desperdiçar tráfego e aumentar o impacto de uma pequena alteração.

Essa defesa é forte para o uso unitário. Ela não resolve o uso de espelhamento. Um coletor que varre todos os nomes precisa saber se encontrou uma geração concluída ou atravessou uma atualização. Sem uma lista assinada, ele pode guardar arquivos autênticos de momentos diferentes e ainda assim passar em todas as verificações individuais.

Um manifesto simples fecharia o elo. Deveria trazer versão, ID do lote, início e término da geração e lista ordenada de nomes. Para cada item: identificador do par, função do nome, tamanho, SHA-256 e arquivo de assinatura. A impressão digital da chave aceita, o lote anterior e o estado de publicação concluída completariam o registro.

Correções não deveriam apagar o recibo anterior. Uma nova versão apontaria para a substituída e explicaria o item alterado. Se os dois nomes de um par tiverem funções diferentes, o campo de função documentaria a diferença em vez de pressupor identidade.

O manifesto não certificaria o DNS ativo. Seu objeto seria o ato de publicar os arquivos. Ele juntaria controles que hoje funcionam isoladamente e responderia a uma pergunta limitada: quais arquivos o LACNIC declarou como uma geração completa?

Assinar cada página é valioso. Assinar o sumário transforma as páginas numa edição reproduzível.

Fontes