Rotação da KSK da Zona Raiz

27/04/2017

A ICANN está planejando realizar uma rotação da chave KSK das extensões de segurança do sistema de nomes de domínio (DNSSEC) como requerido pela Declaração de Práticas de DNSSEC do Operador de KSK da Zona Raiz.

Rotar a KSK implica gerar um novo par de chaves criptografadas (pública e privada) e distribuir o novo componente público entre as partes que operam os resolvedores de validação, entre eles: Provedores de Serviços da Internet; administradores de redes empresariais e outros operadores de resolvedores do Sistema de Nomes de Domínio (DNS); desenvolvedores de software de resolvedores do DNS; integradores de sistemas; e distribuidores de software e hardware que instalam ou distribuem a “âncora de confiança” (trust anchor) da raiz. A KSK é usada para assinar criptograficamente a chave para a assinatura da zona raiz (ZSK), utilizada pela organização encarregada da manutenção da zona raiz para assinar com DNSSEC a zona raiz do DNS da Internet.

É fundamental manter uma KSK atualizada para garantir que os nomes de domínio assinados com DNSSEC continuem a ser validados após a rotação. Não ter a KSK da zona raiz atualizada significa que os validadores que usam DNSSEC não poderão verificar que as respostas do DNS não tenham sido adulteradas e, portanto, darão uma resposta de erro para todas as consultas assinadas com DNSSEC.

“A raiz foi assinada pela primeira vez em 2010 e as melhores práticas indicam que as chaves criptográficas devem ser trocadas cada um tempo prudencial. Rotar a chave da zona raiz significa um grande desafio pela escala da Internet. Este processo de rotação iniciado pela comunidade será realizado em 2017, administrando os tempos para não provocar impacto nos operadores da Internet”, disse Carlos Martínez, CTO de LACNIC e representante da comunidade na cerimônia de assinatura da raiz.

Por mais informações acesse https://go.icann.org/2qj5cRh e http://bit.ly/2oMWjhr