Perguntas mais frequentes  

O Sistema de Nome de Domínio (DNS)

O que é DNS?
Como o DNS funciona?
Por que o DNS é vulnerável?
O que é envenenamento de cache?
O que são ataques man-in-the-middle (MITM)?

DNSSEC

O que as DNSSEC fazem?
Quem se beneficia das DNSSEC?
Como o DNSSEC funciona?
Quão bem o DNSSEC soluciona o problema geral de segurança na Internet?
Como um usuário seria informado sobre um ataque?
O que a Verisign está fazendo para implementar DNSSEC?
Qual é a estratégia de implementação do DNSSEC da Verisign?
O que é preciso para que o DNSSEC seja um sucesso?
Quem adotou ou implementou o DNSSEC?
Quando as DNSSEC forem implementadas, o Secure Sockets Layer (SSL) ainda será necessário?
A DNSSEC é obrigatória por lei ou padrões de mercado?
Qual é a história das DNSSEC?

Registradores

Qual será o impacto da implementação do DNSSEC em registradores?
O que a Verisign está fazendo para ajudar registradores .com/.net?
Somente corporações serão capazes de adquirir DNSSEC ou os clientes não corporativos também poderão adquiri-los? Como isso funciona?

ISPs, Fornecedores e Operadores de Sites (Solicitante de Registros)

O que os provedores de serviços de internet (ISPs) têm que fazer?
Que papel têm os revendedores de hardware no DNSSEC?
Como os desenvolvedores de software podem dar suporte ao DNSSEC?
O que é o Laboratório de Interoperabilidade de DNSSEC da Verisign?
Como os operadores de sites podem habilitar as DNSSEC?
Qual o papel dos criadores de políticas no sucesso do DNSSEC?

 

Respostas do Sistema de Nome de Domínio (DNS)

O que é DNS? 
O DNS é o sistema de endereçamento da Internet. Quase tudo que interage com a Internet (por exemplo: computadores, dispositivos portáteis, laptops, caixas eletrônicos e terminais POS) se baseia em serviços de DNS para trocar informações. O DNS usa servidores especializados para traduzir (ou resolver) nomes como www.verisigninc.com em endereços numéricos que permitem que os dados e as informações cheguem ao seu destino. Todos os aplicativos da Internet, desde sites, e-mail, redes sociais e serviços bancários online até o Protocolo VoIP, o compartilhamento de arquivos e os vídeos sob demanda, dependem da exatidão e integridade dessa tradução. Sem o DNS, a Internet não pode funcionar. O DNS é essencial para infraestrutura de uma nação, as operações de negócios online e as transações financeiras, assim como para todas as comunicações baseadas na Internet. Voltar ao topo

Como o DNS funciona? 
O espaço de nomes de domínios consiste de uma árvore de nomes de domínio subdividida em zonas. O zone de nível superior ou raiz é administrada pelo Departamento de Comércio dos Estados Unidos (DoC) e gerido conjuntamente pela Verisign e pela Internet Assigned Numbers Authority (IANA), que mantêm os dados nos servidores de nome raiz. Saiba mais sobre o DNS.

Uma zona DNS é constituída por um conjunto de nós conectados oferecidos por um servidor autoritativo de nomes. Servidores autoritativos de nomes para zonas diferentes são responsáveis pela publicação dos mapeamentos dos nomes de domínio para os endereços IP. Cada nó ou folha da árvore contém zero ou mais registros de recursos, que sustentam as informações associadas com o nome de domínio. Todo nome de domínio termina com um domínio de nível superior (TLD), como .com ou .tv.

Para que a Internet possa funcionar e para evitar a duplicação de nomes de domínio, é necessário que haja uma local oficial para o registro dos nomes de domínio. Cada TLD tem um registro oficial, que gerencia um banco de dados centralizado. O registro propaga as informações sobre os nomes de domínios e os endereços IP em arquivos de zonas TLD. Os arquivos de zonas TLD mapeiam nomes de domínio de segundo nível ativos (a parte do nome do domínio que aparece imediatamente à esquerda do “.”) para os endereços IP únicos dos servidores de nome. Saiba mais sobre o registro e os nomes de domínios. Voltar ao topo

Por que o DNS é vulnerável? 
O processo de traduzir um nome de domínio em um endereço IP é chamado resolução de DNS. Quando alguém digita um nome de domínio, como www.verisign.com, em um navegador da Web, o navegador entra em contato com um servidor de nomes para obter o endereço IP correspondente. Existem dois tipos de servidores de nomes: os servidores autoritativos de nomes, que armazenam informações completas sobre uma zona, e os servidores recursivos de nomes, que responder a consultas de DNS para os usuários da Internet e armazenam os resultados da resposta do DNS por um período de tempo. Quando um servidor recursivo de nomes recebe uma resposta, ele armazena em cache essa resposta para acelerar as consultas subsequentes. O armazenamento em cache ajuda a reduzir o número de pedidos de informação necessários, mas é suscetível a ataques do tipo man-in-the-middle.

Como resultado desses ataques, os criminosos da Internet podem:

• Invadir e-mails
• Grampear comunicações VoIP
• Falsificar sites
• Roubar senhas e informações de login
• Extrair dados de cartões de crédito e outras informações confidenciais

Saiba mais sobre as ameaças ao sistema de DNS.

Voltar ao topo

O que é envenenamento de cache? 
O envenenamento de cache ocorre quando dados fraudulentos de DNS são inseridos no cache de um servidor recursivo de nomes. Servidores recursivos de nomes armazenam temporariamente, ou em cache, as informações aprendidas durante o processo de resolução de nomes, mas sem as DNSSEC eles não têm nenhuma forma de garantir a validade e a precisão das informações. Quando a informações malignas são armazenada em cache no servidor recursivo de nomes, o servidor é considerado “envenenado”. O envenenamento do cache permite que um atacante redirecione o tráfego para sites fraudulentos. Voltar ao topo

O que são ataques man-in-the-middle (MITM)? 
Um ataque MITM sorrateiramente intercepta e modifica as comunicações entre dois sistemas. O atacante pode potencialmente alterar a comunicação para redirecionar o tráfego para um endereço ou site ilegítimo. Os usuários finais não detectam o “man in the middle” e assumem que estão se comunicando diretamente com o destino pretendido. Voltar ao topo

Respostas DNSSEC

O que as DNSSEC fazem? 
As DNSSEC protegem a comunidade da Internet contra de dados de DNS falsos usando criptografia de chave pública para assinar digitalmente os dados da zona de autoridade. A validação DNSSEC garante aos usuários que os dados são provenientes da fonte indicada e que não foram modificados durante o trânsito. As DNSSEC também podem provar que um nome de domínio não existe.

Embora as DNSSEC aumentem a segurança do DNS, elas não são uma solução abrangente. Elas não protegem contra ataques distribuídos de negação de serviço (DDoS), não garantem a confidencialidade de trocas de dados, não criptografam dados de sites ou impede o uso de IPs falsos ou roubo de IP. Outras camadas de proteção, como mitigação de DDoS, inteligência da segurança, validação de sites e criptografia com Secure Sockets Layer (SSL), bem como autenticação com dois fatores, também são muito importantes para tornar a Internet mais segura. Esses mecanismos deverão ser usados em conjunto com as DNSSEC. Voltar ao topo

Quem se beneficia das DNSSEC? 
As DNSSEC afetam todos os componentes dentro do ecossistema de infraestrutura da Internet. Sua implantação efetiva exigirá o envolvimento de muitos grupos interessados na comunidade da Internet. Registradores, fornecedores de hardware e software, provedores de serviços de Internet e entidades governamentais, assim como os usuários comuns da Internet, todos tem papéis a desempenhar para garantir o sucesso e trazer melhorias vitais para a segurança da Internet.

Benefícios das DNSSEC:

• A comunidade da Internet através da melhora da segurança nas zonas assinadas.
• As registradoress, permitindo que elas ofereçam serviços de assinatura de domínio para seus clientes.
• ISPs, através do aumento da segurança dos dados enviados aos seus clientes.
• Os usuários, protegendo-os contra vulnerabilidades de DNS, como envenenamento de cache e ataques man-in-the-middle.

Voltar ao topo

Como o DNSSEC funciona? 
No DNSSEC, cada zona tem um par de chaves pública/privada. A chave pública da zona é publicada usando o DNS, enquanto que a chave privada é mantida em segurança e, idealmente, armazenada off-line. A chave privada de uma zona assina dados de DNS individuais naquela zona, criando assinaturas digitais que também são publicadas com o DNS.

A DNSSEC usa um modelo de confiança rígido, e essa cadeia de confiança flui da zona pai para a zona filha. Zonas de nível mais alto (pais) assinam, ou atestam, as chaves públicas das zonas de nível mais baixo (filhos). Os servidores autoritativo de nomes para essas zonas podem ser gerenciados por empresas de nomes de domínio, ISPs, empresas de hospedagem ou pelos próprios operadores dos sites.

Quando um usuário final quer acessar um site, um resolvedor stub do sistema operacional do usuário solicita o registro de nome do domínio a partir de um servidor recursivo de nomes localizado em um ISP. Depois que o servidor solicita esse registro, ele também solicita a chave DNSSEC associada com a zona. Essa chave permite que o servidor verifique se a informação recebida é idêntica ao registro no servidor autoritativo de nomes.

Se o servidor recursivo de nomes determinar que o registro de endereço foi enviado pelo servidor autoritativo de nomes e não foi alterado em trânsito, ele resolve o nome do domínio e o usuário pode acessar o site. Este processo é chamado de validação. Se o registro do endereço foi alterado ou não é da origem declarada, o servidor de nomes recursivo não permite que o usuário acesse o endereço fraudulento. As DNSSEC também podem provar que um nome de domínio não existe. Voltar ao topo

Quão bem o DNSSEC soluciona o problema geral de segurança na Internet? 
Há muitas peças no quebra-cabeça global de segurança na Internet. As DNSSEC têm o potencial de mitigar as preocupações de segurança geradas por ataques man-in-the-middle e envenenamentos de cache, mas não é uma solução de segurança global. As DNSSEC não resolvem muitas das ameaças mais comuns à segurança da Internet, como falsificações ou roubos. Por isso, outras camadas de proteção como certificados SSL e autenticação de dois fatores são fundamentais para tornar a Internet segura para todos. Voltar ao topo

Como um usuário seria informado sobre um ataque? 
A comunidade da Internet ainda não inventou um sistema padronizado para informar os usuários de um ataque. Uma possível solução é desenvolver navegadores “sensíveis às DNSSEC”, que notifiquem os usuários que forem encaminhados para destinos autenticados. Voltar ao topo

O que a Verisign está fazendo para implementar DNSSEC? 
Em julho de 2010, a Verisign, trabalhando com a Internet Assigned Numbers Authority (IANA) e o Departamento de Comércio (DoC), concluiu a implementação da DNSSEC na zona raiz (o ponto inicial da hierarquia do DNS). A Verisign também ativou o domínio .edu em julho em colaboração com a EDUCAUSE e o DoC, e está a caminho de ativar a DNSSEC nos domínios .net e .com. Voltar ao topo

Qual é a estratégia de implementação do DNSSEC da Verisign? 
Nossa estratégia de implementação das DNSSEC é começar com as zonas menores primeiro e avaliar cada implantação de acordo com as lições aprendidas antes de passar para a próxima zona. Como a zona .com é a maior de todas, ela será a última assinada. Queremos obter o máximo possível de experiência antes de lidar com o domínio responsável por grande parte do comércio e das comunicações via Internet. Voltar ao topo

O que é preciso para que o DNSSEC seja um sucesso? 
A implantação bem sucedida das DNSSEC traz benefícios muito mais abrangentes para a comunidade global da Internet através do aumentando da confiança em uma infinidade de atividades na Internet, incluindo comércio online, atividades bancárias online, e-mail, VoIP e distribuição online de software. No entanto, a responsabilidade do sucesso das DNSSEC é de toda a comunidade da Internet. O sucesso exige a participação ativa e coordenada de empresas de registros, solicitantes de registros, empresas de hospedagem, desenvolvedores de software, fornecedores de hardware, entidades governamentais e tecnólogos e coligações da Internet. Voltar ao topo

Quem adotou ou implementou o DNSSEC? 
A zona raiz da Internet, os domínios de nível superior (TLDs) como .gov, .org, .museum, e vários TLDs com códigos de país (ccTLDs), assinaram as zonas que eles gerenciam. Outros TLDs, como .edu, .net e .com irão implementar as DNSSEC em 2010/2011. Estes TLDs começarão a aceitar em breve nomes de domínio de segundo nível assinados por DNSSEC. Grandes provedores de serviços de Internet como a Comcast anunciaram a intenção de ativar a validação nos servidores recursivos de nomes que respondem perguntas dos usuários, e algumas registradoress incluíram a implementação das DNSSEC em seus roteiros. Além disso, espera-se que a Internet Corporation for Assigned Names and Numbers (ICANN) abra inscrições para novos TLDs dentro de um futuro próximo, e é provável que os planos para a implementação das DNSSEC sejam uma exigência para a aceitação de novos pedidos de TLD. Voltar ao topo

Quando as DNSSEC forem implementadas, o Secure Sockets Layer (SSL) ainda será necessário? 
Embora tanto as DNSSEC quanto o SSL sejam baseados em criptografia de chave pública, eles desempenham funções muito diferentes que se complementam, em vez de substituir uma à outra.

Em um modelo muito simplista, as DNSSEC cuidam de “onde” e o SSL cuida de “quem” e “como”.

• Onde: a DNSSEC utiliza assinaturas digitais para verificar a integridade dos dados DNS, garantindo assim que os usuários acessam o endereço IP pretendido. Seu trabalho é feito quando o usuário acessa o endereço. A DNSSEC não garante a identidade da entidade no endereço e não criptografa as interações entre o usuário e o site.
• Quem: o SSL usa certificados digitais para validar a identidade de um site. Quando esses certificados são emitidos por autoridades de certificação (CAs) externas e confiáveis, o SSL assegura aos usuários a identidade do proprietário do site. No entanto, o SSL não faz nada para garantir que o usuário chegue ao local correto, não sendo assim aplicável contra ataques que redirecionam os usuários. Em outras palavras, a validação de sites via SSL é eficaz, mas somente quando o usuário primeiramente alcança o destino correto.
• Como: o SSL também utiliza certificados digitais para criptografar o intercâmbio de dados entre um usuário e um site, protegendo assim a confidencialidade de transações financeiras, comunicações, comércio online e outras interações sensíveis.

Quando utilizados em conjunto, a DNSSEC e o SSL aumentam a segurança e a confiança na Internet: os usuários podem ter certeza a respeito do seu destino, de com quem estão interagindo e do quanto suas interações são confidenciais. Voltar ao topo

A DNSSEC é obrigatória por lei ou padrões de mercado? 
O memorando 08-23 do Escritório de Gestão e Orçamento dos Estados Unidos (OMB) determinou que a DNSSEC fosse implementada no domínio de nível superior .gov em janeiro de 2009 e que as agências federais dos Estados Unidos implementassem a DNSSEC em sites externos em dezembro de 2009. O registro do .gov foi assinado no início de 2009. A Agência de Defesa de Sistemas de Informação dos Estados Unidos (DISA) também pretende atender às exigências de DNSSEC do OMB para o domínio .mil. As regulamentações do Novo Ato Federal da Gerência da Segurança da Informação (FISMA) exigem que as agências assinem suas zonas de intranet com a DNSSEC em meados de 2010. Atualmente, não existem requisitos para que operadores de sites públicos protejam seus domínios com a DNSSEC. Voltar ao topo

Qual é a história das DNSSEC? 
1993: a discussão a respeito de DNSs seguros começa
1994: primeiro rascunho a respeito de uma norma padrão é publicado
1997: a RFC (Request For Comments) 2065 é publicada (a DNSSEC é um padrão IETF)
1999: a RFC 2535 é publicado (o padrão DNSSEC é revisado)
2005: uma reescrita completa dos padrões é publicada
RFC 4033 (Introdução e Requisitos)
RFC 4034 (Novos Registros de Recursos)
RFC 4035 (Alterações de Protocolo)
01 de julho de 2010: zona raiz assinada (planejado)
Terceiro trimestre de 2010: .edu assinado
Quatro trimestre de 2010: .net assinado
Primeiro trimestre de 2011: .com assinado

Voltar ao topo

Respostas das registradoress

Qual será o impacto da implementação do DNSSEC em registradores? 
As empresas de registros de domínios deverão assinar os nomes de domínio para seus clientes. Ativar a DNSSEC para um cliente envolve criar pares de chaves privada/pública para o nome do domínio, criar e assinar a zona e gerenciar os pares de chaves. Esses processos garantem que os resolvedores com DNSSEC ativa dentro do ecossistema da Internet possam verificar a autenticidade das respostas recebidas da zona. As registradores também terão que modificar a interface para os seus clientes para aceitar os dados da DNSSEC. Além disso, será necessário modificar a interface do Protocolo de Provisionamento Extensível (EPP) para transmitir dados DNSSEC para os registros com os quais eles interagem. Voltar ao topo

O que a Verisign está fazendo para ajudar registradores .com/.net? 
A Verisign está empenhada em baixar os custos de implementação da DNSSEC para os registradores e a ajudar nossos afiliados a determinar suas estratégias de implementação da DNSSEC. A Verisign está fornecendo uma série de ferramentas, treinamento, serviços e apoio para ajudar as registradoress nos processos essenciais de gerenciamento e na implementação da DNSSEC nos seus servidores DNS.

Esse suporte inclui:

• Um Ambiente de Teste Operacional para domínios .net e .com, que permite que as registradoress assegurem que a implementação da DNSSEC funcione corretamente.
• Tutoriais DNSSEC fornecidos pelo Campo de Treinamento Técnico.
• Um kit de desenvolvimento de software (SDK) e uma Ferramenta EPP. Acesse o EPP SDK.
• O Fórum Técnico da DNSSEC.
• Um Guia de Ferramentas de DNSSEC, que fornece uma visão geral das suítes de automação e ferramentas de código aberto relacionadas à DNSSEC disponíveis no mercado.
• Uma ferramenta de linha de comando disponível para download, que permite que as registradoress tirem proveito de algumas ferramentas de código aberto para simplificar o gerenciamento de zonas de DNS e DNSSEC.
• Notas técnicas sobre como as transferências de registradores ocorrerão em um ambiente que utiliza DNSSEC (através do Fórum Técnico da DNSSEC).

Voltar ao topo

Somente corporações serão capazes de adquirir DNSSEC ou os clientes não corporativos também poderão adquiri-los? Como isso funciona? 
A Verisign está investindo na DNSSEC para fortalecer a infraestrutura da Internet. Empresas de registros de domínios e/ou prestadores de serviços podem optar por desenvolver serviços que permitem o uso da DNSSEC para seus clientes. O mercado determinará o modelo. Voltar ao topo

Respostas de ISPs, Fornecedores e Operadores de Sites (Solicitantes de Registros)

O que os provedores de serviços de internet (ISPs) têm que fazer? 
Para ajudar a propagar a DNSSEC por todo o ecossistema da Internet, os ISPs terão de permitir o uso da DNSSEC em seus servidores recursivos de nomes e assegurar a compatibilidade das suas infraestruturas de rede (por exemplo: firewalls, roteadores, switches e balanceadores de carga) com as respostas de DNS maiores, geradas pela DNSSEC.

A maioria dos servidores recursivos de nomes disponíveis comercialmente já suportam DNSSEC e exigem somente uma atualização ou alteração de parâmetros. No entanto, as empresas de registros podem ter que atualizar ou substituir servidores de nomes antigos e dispositivos de rede existentes. Para determinar o impacto, caso existente, que a DNSSEC terá sobre os componentes da infraestrutura da empresa, essas empresas podem providenciar testes no Laboratório de Interoperabilidade de DNSSEC da Verisign. Voltar ao topo

Que papel têm os revendedores de hardware no DNSSEC? 
O DNSSEC introduz alterações complexas em todo o ecossistema da Internet. Para garantir que os usuários da Internet se beneficiem dessa camada adicional de segurança na Internet, os fabricantes de produtos de infraestrutura da Internet, como firewalls, roteadores e outros dispositivos, precisam garantir que seus aparelhos sejam compatíveis com a DNSSEC. A operação adequada desses produtos impacta virtualmente em qualquer pessoa que se conecte a Internet, incluindo empresas, ISPs, usuários domésticos e outros clientes.

Os fornecedores de hardware pode testar seus equipamentos em nosso Laboratório de Interoperabilidade de DNSSEC. O laboratório é gratuito para os membros interessados da comunidade da Internet e fornece uma visão rápida, mas abrangente, da forma como os seus equipamentos irão interagir em um ambiente que utiliza DNSSEC. Voltar ao topo

Como os desenvolvedores de software podem dar suporte ao DNSSEC? 
Os produtos de software que executam o DNS, assim como os aplicativos do usuário final, como navegadores e e-mails, são essenciais para o uso eficaz e inovador da Internet. Registradores, ISPs e usuários finais precisam de soluções que incorporem recursos de DNSSEC nesse software. Através da criação de produtos sensíveis à DNSSEC e do desenvolvimento de ferramentas para simplificar o gerenciamento da DNSSEC, os desenvolvedores de software ajudarão na adoção global da DNSSEC.

As oportunidades para criar valor para os consumidores existem nos níveis de sistema operacional do servidor de DNS, sistema operacional cliente e aplicativos do usuário final. Por exemplo, registradores, ISPs e serviços de hospedagem web precisam de soluções para simplificar a assinatura de zonas do DNSSEC e gerenciamento de chaves. Eles também precisam de uma maneira de indicar a validação de DNSSEC para usuários finais, talvez exibindo uma dica visual em navegadores da web.

Conforme os desenvolvedores de software integram as capacidades da DNSSEC em seus produtos, eles podem testá-los no nosso Laboratório de Interoperabilidade de DNSSEC. O Laboratório oferece uma visão rápida, mas abrangente, de como o software irá interagir em um ambiente que usa a DNSSEC. Voltar ao topo

O que é o Laboratório de Interoperabilidade de DNSSEC da Verisign? 
O Laboratório de Interoperabilidade de DNSSEC da Verisign permite que os membros da comunidade de TI testem a compatibilidade dos seus componentes de infraestrutura empresarial e da Internet com a DNSSEC.

Usando a instalação de testes, os fabricantes de hardware e os desenvolvedores de software podem determinar o impacto, caso existente, que a DNSSEC terá sobre as soluções e os serviços oferecidos. Registradores e ISPs podem usar o Laboratório para determinar como seus componentes existentes de infraestrutura comportam-se em um ambiente ativado para DNSSEC. Ao fazer isto, a comunidade de TI estará melhor equipada para implementar o DNSSEC com sucesso. Para obter mais informações, entre em contato conosco. Voltar ao topo

Como os operadores de sites podem habilitar as DNSSEC? 
A DNSSEC baseia-se em uma hierarquia de confiança. As entidades nos níveis mais altos da hierarquia legitimam as entidades abaixo delas. Isso significa que a entidade que forneceu o nome do domínio para o operador do site (geralmente uma registradors, um ISP ou um serviço de hospedagem de DNS) deve implementar a DNSSEC antes que o operador do site possa habilitá-la.

Para habilitar a DNSSEC para o seu site, o operador do site deve assinar digitalmente as suas informações de nome de domínio. Na maioria dos casos, o operador simplesmente opta por esse processo ao registar o nome do domínio. Se o operador já registrou o nome do domínio e optou por implementar a DNSSEC na sua zona, a sua empresa de registro, que faz uso da DNSSEC, provavelmente contará com um processo para modificar os registros da zona após o registro.

Algumas organizações podem ter que administrar partes do processo de DNSSEC internamente por razões de segurança e conformidade. Neste caso, o processo de habilitar a DNSSEC é mais complexo. Voltar ao topo

Qual o papel dos criadores de políticas no sucesso do DNSSEC? 
O DNSSEC é mais efetivo quando implementado universalmente, iniciando no topo da hierarquia da Internet (a zona raiz e os domínios de nível superior) e movendo-se para baixo em nomes de domínio individuais. De forma semelhante a outras campanhas internacionais, a DNSSEC requer a participação ativa e coordenada de várias organizações e países.

O tamanho, a complexidade e o impacto de um esforço global de DNSSEC sugere que os criadores de políticas no governo e no setor público têm uma função vital no sucesso do DNSSEC. Trabalhando nos níveis nacional e internacional em telecomunicações, padrões técnicos, comércio, imposição da lei, e segurança e defesa nacionais, os criadores de políticas têm a visibilidade, influência e alcance para ter impacto positivo no momento e curso do DNSSEC. Voltar ao topo