Le misure di salvaguardia per DNSSEC DS automation sotto revisione ICANN

DNSSEC DS automation è ora sottoposta a revisione formale presso ICANN, che ha aperto una consultazione pubblica sui requisiti di sicurezza e stabilità per automatizzare la gestione dei Delegation Signer record. DNSSEC, abbreviazione di Domain Name System Security Extensions, è un modo per aggiungere controlli crittografici a DNS, il sistema che trasforma i nomi dei siti web negli indirizzi internet usati dai computer. I Delegation Signer record, di solito chiamati DS records, sono le voci della parent-zone che collegano un dominio firmato alla chain of trust usata dai validating resolvers, i servizi DNS che verificano se le risposte DNS sono autentiche.

ICANN ha aperto la consultazione il 12 ottobre 2026 e accetta commenti fino al 23 novembre 2026. L’organizzazione chiede al settore dei domini di valutare una revisione di sicurezza e stabilità che potrebbe supportare un Fast-Track Registry Services Evaluation Process, noto come RSEP, per DNSSEC DS automation. In termini pratici, ciò consentirebbe agli operatori registry qualificati di introdurre la gestione automatizzata dei DS record attraverso un processo di approvazione più snello, se vengono soddisfatte le misure di salvaguardia richieste.

La questione è importante perché i DS records si trovano in un punto sensibile della progettazione di DNSSEC. Quando sono corretti, aiutano i validating resolvers a confermare che una risposta DNS appartiene davvero al dominio richiesto. Quando sono errati, modificati troppo presto o aggiornati in modo incoerente, la DNSSEC validation può fallire. Un dominio può continuare a funzionare normalmente sui suoi web server o mail server, ma gli utenti il cui DNS resolver controlla DNSSEC potrebbero non riuscire a raggiungerlo.

ICANN afferma che l’attuale revisione segue una decisione del settembre 2025 del suo Board di adottare le raccomandazioni del Security and Stability Advisory Committee. Tali raccomandazioni sono state pubblicate in SAC126 e chiedevano di rendere più semplice la gestione automatizzata dei DS record, continuando però ad affrontare i rischi operativi e di sicurezza. L’obiettivo non è semplicemente velocizzare il lavoro dei registry, ma assicurare che l’automazione non indebolisca il processo di DNSSEC validation che dovrebbe supportare.

Oggi, la manutenzione dei DS record può richiedere coordinamento tra più parti. Un DNS operator può gestire la firma DNSSEC del dominio, un registrar può occuparsi delle modifiche al dominio rivolte al cliente, e un registry mantiene la parent zone in cui vengono pubblicati i DS records. Questo coordinamento diventa particolarmente importante quando cambiano le chiavi crittografiche o quando il titolare di un dominio passa a un diverso DNS service provider. L’automazione può ridurre i passaggi manuali, ma aumenta anche la posta in gioco se un aggiornamento errato viene accettato automaticamente.

La valutazione è stata preparata con Interisle Consulting Group e copre i meccanismi di automazione descritti negli RFC 7344, 8078, 9615, 9975 e 10026. Un RFC, o Request for Comments, è un documento tecnico usato per definire standard internet e pratiche operative. ICANN chiede se la revisione abbia individuato correttamente le preoccupazioni di sicurezza e stabilità legate a questi meccanismi, e se i requisiti e le raccomandazioni proposti siano pratici e proporzionati per l’implementazione da parte dei registry.

La consultazione offre specificamente agli operatori registry, ai DNS service provider e agli operatori resolver l’opportunità di esaminare gli scenari di guasto prima che le modifiche automatizzate dei DS diventino più facili da distribuire. ICANN evidenzia preoccupazioni come aggiornamenti DS incoerenti, key rotations non riuscite e fallimenti di autenticazione. Una key rotation è il processo di sostituzione del materiale crittografico usato da DNSSEC. Se questo processo viene gestito male, la chain of trust può interrompersi e le risposte DNS legittime possono essere respinte.

Per i proprietari di siti web e le aziende, il messaggio immediato è che DNSSEC automation è utile ma non priva di rischi. Può rendere la manutenzione ordinaria della sicurezza dei domini meno dipendente dal coordinamento manuale, ma solo se i sistemi che effettuano le modifiche sono in grado di gestire gli errori in sicurezza. Una configurazione DNSSEC non funzionante non equivale a un sito web hackerato, eppure il risultato può apparire simile ai visitatori: il sito, l’email o altri servizi basati sul dominio possono smettere di risolversi per alcuni utenti.

ICANN afferma che una consultazione separata riguarderà il testo di implementazione. Prevede di pubblicare in una procedura successiva una bozza del testo di modifica standard per il processo fast-track. Dopo la chiusura della consultazione attuale, ICANN esaminerà i contributi, apporterà le modifiche appropriate alla valutazione e pubblicherà un addendum in risposta al feedback ricevuto. I commenti si chiudono alle 23:59 UTC del 23 novembre, e ICANN ha programmato per il 7 dicembre 2026 il suo report di sintesi sui commenti pubblici.

Le scelte DNS contano in questa storia perché i resolvers sono i sistemi che applicano la DNSSEC validation per gli utenti; per i lettori che rivedono la propria configurazione DNS, AEU DNS è un DNS privato e sicuro per tutti. Il punto più ampio è che l’automazione nella sicurezza DNS dovrebbe essere giudicata non solo in base a quanto lavoro risparmia ai registry, ma anche in base al fatto che gli utenti ordinari possano ancora raggiungere domini gestiti correttamente quando cambiano i record crittografici.