Pela primeira vez na hist\u00f3ria come\u00e7ou a rota\u00e7\u00e3o das chaves criptogr\u00e1ficas da chamada zona raiz da Internet, um desafio mundial pela magnitude da rede. Este processo come\u00e7ou em 11 de outubro deste ano (2018) com o primeiro uso da nova chave das extens\u00f5es de seguran\u00e7a do sistema de nomes de dom\u00ednio (DNSSEC).<\/p>\n
Prev\u00ea-se que a rota\u00e7\u00e3o das chaves finalize em mar\u00e7o de 2019 com a supress\u00e3o da antiga chave do equipamento nas instala\u00e7\u00f5es da ICANN dedicadas ao gerenciamento de chaves. Para esse momento, todos os operadores da Internet dever\u00e3o ter substitu\u00eddo a senha antiga pela nova.<\/p>\n
Na atualidade, 750 milh\u00f5es de pessoas est\u00e3o usando resolvedores de valida\u00e7\u00e3o de DNSSEC que poderiam ser afetados pela transfer\u00eancia das chaves. Se esses sistemas n\u00e3o tiverem a chave nova, os usu\u00e1rios finais que dependem deles n\u00e3o poder\u00e3o ter acesso \u00e0 Internet.<\/p>\n
Carlos Mart\u00ednez, gerente de Tecnologias de LACNIC e um dos representantes da comunidade de recursos de numera\u00e7\u00e3o no processo de gera\u00e7\u00e3o da nova chave da zona raiz, assegurou que a mudan\u00e7a ser\u00e1 feita durante o que resta de 2018 e dos primeiros meses de 2019 administrando os tempos para que n\u00e3o haja impacto sobre os operadores da Internet.<\/p>\n
O que \u00e9 a zona raiz da Internet e por que \u00e9 importante?<\/strong><\/p>\n A zona raiz do DNS seria como um arquivo que contem informa\u00e7\u00f5es sobre onde est\u00e3o os servidores de nomes dos dom\u00ednios de alto n\u00edvel (TLDS). Os TLD s\u00e3o os nomes de mais alto n\u00edvel, como \u201ccom\u201d, \u201cnet\u201d, \u201corg\u201d, \u201cuy\u201d, \u201car\u201d e o resto dos pa\u00edses.<\/p>\n Assim, a zona raiz \u00e9 um componente de especial import\u00e2ncia para o bom funcionamento da Internet, porque dela dependemos para encontrar os nomes dos sites que acessamos, como “www.lacnic.net” ou “www. riu.edu.ar”. A zona raiz nos indica como encontrar \u201cnet\u201d ou encontrar \u201car\u201d em cada caso.<\/p>\n Para que foi criado o protocolo DNSSEC e para que serve?<\/strong><\/p>\n DNSSEC \u00e9 um conjunto de extens\u00f5es para o protocolo de resolu\u00e7\u00e3o de nomes (DNS) que permite proteger o conte\u00fado das zonas (\u201cdom\u00ednios\u201d) DNS de serem alterados maliciosamente. Isso \u00e9 poss\u00edvel gra\u00e7as \u00e0 introdu\u00e7\u00e3o de assinaturas digitais e chaves criptogr\u00e1ficas nos pr\u00f3prios dom\u00ednios.<\/p>\n Um usu\u00e1rio, na hora de acessar um site, pode conferir que o nome (\u201cwww.lacnic.net\u201d) esteja assinado corretamente.<\/p>\n Podemos pensar nisso como um complemento para o “cadeado” de seguran\u00e7a que oferecem os navegadores, mas aplicado especificamente \u00e0 resolu\u00e7\u00e3o de nomes.<\/p>\n Que s\u00e3o as chaves criptogr\u00e1ficas usadas no protocolo DNSSEC?<\/strong><\/p>\n Uma chave, ou melhor, um “par de chaves”, \u00e9 um par de valores, um p\u00fablico e outro privado, que mediante algoritmos de criptografia permitem no caso de DNSSEC, gerar assinaturas digitais que podem ser verificadas por outros usu\u00e1rios.<\/p>\n As chaves criptogr\u00e1ficas s\u00e3o n\u00fameros muito, mas muito longos (na ordem de centenas de d\u00edgitos) que por meio de opera\u00e7\u00f5es matem\u00e1ticas definidas no que chamamos de “algoritmos criptogr\u00e1ficos” permitem, entre outras coisas, gerar as assinaturas digitais que, como mencionado acima, podem ser usadas para verificar a integridade de um nome de dom\u00ednio.<\/p>\n Por que s\u00e3o importantes essas chaves criptogr\u00e1ficas?<\/strong><\/p>\n Porque com elas temos a possibilidade de verificar a integridade das informa\u00e7\u00f5es fornecidas pelo DNS. Al\u00e9m disso, quanto mais longa a chave (mais d\u00edgitos tenha) acaba por ser mais segura.<\/p>\n As chaves permitem verificar as assinaturas, e com isso saber se um nome de dom\u00ednio foi alterado maliciosamente ou n\u00e3o.<\/p>\n Como impactam essas chaves no usu\u00e1rio final da Internet?<\/strong><\/p>\n O usu\u00e1rio final n\u00e3o tem contacto com elas. Quem usam as chaves s\u00e3o os servidores DNS que prestam servi\u00e7os aos usu\u00e1rios finais.<\/p>\n Esses servidores, conhecidos como servidores recursivos, validam as assinaturas digitais e se percebem que um nome foi alterado (a assinatura \u00e9 incorreta), ent\u00e3o simplesmente ir\u00e3o informar ao usu\u00e1rio final de que h\u00e1 um problema com a resolu\u00e7\u00e3o desse nome, evitando assim que o usu\u00e1rio acesse um site que, eventualmente, tenha sido adulterado maliciosamente.<\/p>\n Como \u00e9 a “assinatura da zona raiz”?<\/strong><\/p>\n A assinatura da zona raiz \u00e9 um caso especial, j\u00e1 que por sua import\u00e2ncia fundamental na resolu\u00e7\u00e3o de nomes na Internet, se houver algum problema ou erro em sua assinatura, o servi\u00e7o na Internet poderia ver-se amplamente afetado.<\/p>\n Por conseguinte, a assinatura da raiz ocorre de acordo com uma s\u00e9rie de procedimentos bem definidos e ocorre em um ambiente altamente controlado, com testemunhas da comunidade presentes.<\/p>\n Quem tem o arquivo ou as chaves da zona raiz?<\/strong><\/p>\n IANA, ou o que hoje conhecemos como a PTI, \u00e9 quem tem o controle de edi\u00e7\u00e3o do arquivo da zona raiz.<\/p>\n No entanto, a autoridade para introduzir mudan\u00e7as no mesmo \u00e9 regida por um processo mais complexo, que diferencia, por exemplo, os TLD vinculados a pa\u00edses (.uy,.ar, etc.) dos chamados “TLD gen\u00e9ricos” (.com, .black, .info, .net)<\/p>\n Esta \u00e9 a primeira vez que essas chaves s\u00e3o trocadas?<\/strong><\/p>\n \u00c9 sim. \u00c9 a primeira vez que foram trocadas desde que foram geradas pela primeira vez em 2010.<\/p>\n Quem administra as chaves?<\/strong><\/p>\n As chaves est\u00e3o armazenadas em uns equipamentos especiais chamados HSM (Hardware Security Modules) que por sua vez, est\u00e3o sob cust\u00f3dia em dois sites seguros. A administra\u00e7\u00e3o desses sites, conhecidos como KMFs (Key Management Facilities), bem como do equipamento usado, corresponde a ICANN.<\/p>\n Essas chaves s\u00e3o vulner\u00e1veis?<\/strong><\/p>\n As chaves em si s\u00e3o n\u00fameros. Seu valor \u00e9 dado por ser secretas. \u00c9 por isso que as chaves nunca saem dos HSM, e os HSM s\u00e3o os que geram diretamente assinaturas sem nunca desvendar a chave privada em si mesma.<\/p>\n Em outras palavras, ningu\u00e9m jamais viu a chave privada. Est\u00e1 ai, mas a gente nunca v\u00ea.<\/p>\n Como s\u00e3o trocadas as chaves e quem decide trocar?<\/strong><\/p>\n A decis\u00e3o de trocar a chave surge das melhores pr\u00e1ticas da ind\u00fastria que aconselham realizar as chamadas “rota\u00e7\u00f5es” das chaves de maneira peri\u00f3dica.<\/p>\n O “quando” depende de v\u00e1rios fatores. No caso particular das chaves da zona raiz, j\u00e1 em 2015 foi decidido que era necess\u00e1rio rot\u00e1-las, mas devido \u00e0 complexidade e ao potencial de impacto adverso, foram realizados diversos testes pr\u00e9vios para garantir que esses efeitos fossem mantidos ao m\u00ednimo.<\/p>\n Como \u00e9 esse processo iniciado?<\/strong><\/p>\n O processo foi iniciado com a gera\u00e7\u00e3o e a publica\u00e7\u00e3o da nova chave. Agora entramos em um per\u00edodo de verifica\u00e7\u00e3o e comunica\u00e7\u00e3o p\u00fablica.<\/p>\n Que organiza\u00e7\u00f5es dever\u00e3o fazer alguma coisa nesta inst\u00e2ncia?<\/strong><\/p>\n Todas as organiza\u00e7\u00f5es que operam servidores DNS, particularmente se fizerem valida\u00e7\u00e3o DNSSEC (se n\u00e3o fizerem, deveriam fazer!) devem estar atentas \u00e0s mudan\u00e7as na medida em que forem acontecendo.<\/p>\n Se usarem vers\u00f5es recentes de software DNS \u00e9 prov\u00e1vel que n\u00e3o tenham que tomar qualquer a\u00e7\u00e3o. Se usarem vers\u00f5es mais antigas, provavelmente v\u00e3o ter que atuar de maneira manual.<\/p>\n Podem apresentar-se problemas durante o processo de troca das chaves?<\/strong><\/p>\n Sempre podem existir dificuldades, n\u00e3o h\u00e1 nada 100% perfeito. Certamente haver\u00e1 casos de organiza\u00e7\u00f5es que enfrentem algumas situa\u00e7\u00f5es a serem corrigidas, mas estamos confiantes de que o processo ir\u00e1 ocorrer sem grandes surpresas.<\/p>\n Quais s\u00e3o as datas importantes dessa troca de chaves?<\/strong><\/p>\n S\u00e3o as que podem ser vistas no cronograma publicado pela IANA\/PTI aqui<\/a>.<\/p>\n