Observatório latino-americano do DNS

Observatório

latino-americano do DNS

Primeiro relatório

agosto de 2016

INTRODUÇÃO

O sistema de nomes de domínio (DNS) é uma camada essencial de infraestrutura da Internet que possibilita a operação de outras camadas acima dela, inclusive aplicativos de usuários finais, como páginas da Web, e-mails, mensagens instantâneas etc. O DNS está abaixo de cada uma dessas tecnologias, apoiando e possibilitando alterações dinâmicas e em tempo real a fim de se adaptar ao tráfego, evitar ataques, equilibrar a carga etc.

Sendo um sistema essencial, é importante que haja uma preocupação sobre sua operação adequada no âmbito dos países, porque ele é uma das bases da presença da comunidade na Internet. A cada dia, as pessoas tornam-se mais e mais dependentes da Internet e precisamos estar à altura disso, proporcionando maior robustez e redundância ao DNS, e protegendo contra falhas e eventos inesperados, para os quais existem técnicas comprovadas para salvaguardar a operação do DNS.

É por isso que foram definidas certas medidas para avaliar objetivamente a conformidade correta com as normas de segurança e a robustez do DNS. Essas medições, embora não sejam exigidas nem solicitadas por nenhum registro de nomes de domínio, são realmente importantes para prestar um serviço de qualidade. Uma análise abrangente do status do DNS com base nessas medições oferece uma visão geral da situação atual do DNS e possibilita comparações ao longo do tempo, por meio de medições periódicas. Além dos aprimoramentos previstos ao longo do tempo, é possível adotar medidas corretivas de longo e médio prazo que devem refletir-se em melhorias nas medições.

O observatório latino-americano do DNS está tentando obter medições contínuas e objetivas de parâmetros conhecidos do DNS no âmbito dos nomes de domínio regionais para coletar informações e relatórios que possam melhorar o gerenciamento deste importante recurso.

DADOS

Para que seja obtida uma medição abrangente, é necessária a lista de todos os nomes de domínio da região. Neste primeiro relatório preliminar, foi selecionada uma fonte pública alternativa – a “lista de sites Alexa 1M”, que classifica o milhão de sites mais populares mais populares na Internet –, a qual foi filtrada para obter apenas os nomes de domínio latino-americanos. O observatório recebeu essa lista de nomes de domínio e foram tomadas as ações abordadas neste relatório.

Essa lista da Alexa serve como protótipo. No entanto, os resultados não são comparáveis com uma análise regional completa. Os domínios da Alexa compartilham determinadas características exclusivas que não podem ser extrapoladas para outros domínios. Como são sites altamente populares, é possível que tenham uma infraestrutura melhor que os domínios mais comuns. Portanto, eles realmente representam um “limite superior” em termos de medidas.

Em resumo, é importante destacar que estes resultados não serão muito semelhantes aos do relatório final, mas constituem uma amostra que, como prova de conceito, permite analisar os tipos de medidas e seu comportamento.

Outro ponto relevante é que os resultados são agrupados levando-se em consideração toda a região. Não é feita nenhuma divisão ou comparação por país, já que a meta é determinar as tendências regionais, e não investigar profundamente a realidade de cada ccTLD.

COMO FUNCIONA O OBSERVATÓRIO

Com base nessa lista de nomes de domínio latino-americanos, é alimentado um coletor de dados localizado em Santiago do Chile, que executa regularmente (uma vez por semana) todos os servidores de nomes de cada um desses domínios, fazendo consultas do DNS que ajudam a controlar essas medidas. Ele também usa outras fontes de informações (por exemplo, números autônomos de ASN) para fazer outro tipo de análise.

Com esses dados, é criado um repositório de Big Data, que é resumido, organizado e analisado quinzenalmente para a elaboração do relatório.

Resultados

1. Total de domínios

De acordo com as estatísticas fornecidas pela LACTLD [1], a organização que reúne os registros de nomes de domínio da América Latina e Caribe, há mais de 8 milhões de nomes de domínio na região. Na lista da Alexa, podem ser encontrados mais de 30 mil nomes de sites na região, somando 0,38% do total.

Para esta análise, foram analisados 31.872 nomes de domínio na região da LACTLD [2].

2. Quantidade de NS por domínio

A fim de proporcionar redundância para a resolução adequada e imediata de um nome de domínio, o DNS possibilita que sejam definidos “servidores de nomes” (NS), isto é, os servidores responsáveis pela tradução do nome em um número IP. O padrão indica que deve haver pelo menos dois NS por domínio [3]. Alguns registros, devido a políticas contratuais, exigem a definição desses dois servidores, mas outros deixam isso a critério do proprietário do nome de domínio. De qualquer modo, nesta etapa do desenvolvimento da Internet, considera-se que dois NS não são suficientes e o mínimo deve ser três [4]. A quantidade correta dependerá do uso dado ao nome, da capacidade de cada NS e da respectiva localização.

Como mostrado no gráfico, há uma implementação correta da prática recomendada, já que a média é superior a três NS por domínio. No entanto, há uma grande quantidade (38%) com apenas 2 e, embora isso esteja de acordo com a recomendação, é bastante arriscado.

Vale observar que esse bom resultado pode ser influenciado pelos dados provenientes dos domínios da Alexa, representando assim os sites mais visitados e, portanto, os que estão melhor preparados em termos de infraestrutura. Supõe-se que uma amostragem regional mais completa e diversificada reduza essa média.

3. Quantidade de ASN por domínio

O número de NS por domínio representa uma primeira abordagem ao status do DNS em termos de robustez e redundância. No entanto, uma segunda e mais profunda análise possibilita distinguir como estão distribuídos esses NS no nível do roteamento. Alguns domínios têm 3 NS, o que indicaria que são bastante flexíveis, mas esses 3 NS estão no mesmo centro de dados, ou um ao lado do outro, ou até mesmo compartilhando o mesmo dispositivo físico! Assim, acreditar que esses 3 NS tornarão o domínio seguro é apenas uma ilusão. Esses domínios continuam sendo vulneráveis a quedas de energia localizadas, linking etc. Por esse motivo, a medida “ASN” permite maior rigor ao contar o número de sistemas autônomos que resolvem o domínio. Os sistemas autônomos representam diversas organizações. Assim, ter NS em mais de um ASN significa que os servidores de nomes estão realmente em locais diferentes, com roteamentos diferentes e, portanto, proporcionam diversidade.

Aqui, observamos que, infelizmente, o bom resultado anterior de 3,4 NS por domínio é um pouco enganador, do ponto de vista da flexibilidade. Quase 80% dos domínios têm NS em um único número autônomo (ASN), o que significa que estão na mesma organização e local físico. Isso torna o domínio muito vulnerável a desligamentos devido a problemas no âmbito da organização. Esses 16% que têm NS em 2 números autônomos são muito mais robustos, porque a probabilidade de ocorrer uma falha em duas organizações é muito menor.

4. Distribuição de servidores por país

Depois de outras análises do local do NS do domínio, é analisado o local físico no âmbito dos países.

O resultado é bastante semelhante ao do número de ASN, com quase 80% dos NS localizados no mesmo país e 20% em dois países. Novamente, é aconselhável, se possível, ter NS diferentes em mais de um país, considerando que já ocorreram interrupções da Internet a nível nacional e elas podem ser resolvidas por esse mecanismo.

Para concluir esta análise sobre NS por domínio, apresentamos um gráfico comparativo das 3 medidas mencionadas acima:

5. Uso do IPv6

O sistema de nomes de domínio, na qualidade de infraestrutura essencial para a Internet, deve ser um dos pioneiros a ser implementado no novo protocolo de IPv6, a fim de dar suporte a todos os aplicativos que dependem dele. Para cada nome de domínio, analisamos se os respectivos NS têm endereços nesse novo protocolo (registro AAAA e conectividade IPv6):

Infelizmente, a adoção dessa nova tecnologia está bastante lenta. Mais de 50% dos nomes de domínio da região não têm NS acessíveis por IPv6, o que significa que esses nomes de domínio não funcionarão com redes totalmente conectadas via IPv6. 12% dos nomes de domínio têm pelo menos um, e 26% têm dois servidores de nomes em IPv6.

6. Uso de DNSSEC

As extensões de segurança do DNS, conhecidas como DNSSEC, possibilitam adicionar propriedades de integridade e autenticidade de dados a essa tecnologia. Portanto, é possível garantir que as informações obtidas não tenham sido modificadas no caminho e que elas provenham de uma fonte real e oficial. Graças às DNSSEC, é possível atenuar diversos ataques e melhorar a confiança em geral na Internet.

Conclusões

Em termos de medidas básicas, os resultados obtidos para o número de servidores de nomes por domínio são bons, e os resultados em termos de distribuição por sistema autônomo e diversificação de país não são tão bons. Isso leva a continuar progredindo na melhoria da robustez de nosso sistema de nomes de domínio na região, por meio deste tipo de pesquisa. Além disso, a comparação ao longo do tempo pavimentará o caminho para analisarmos se as políticas de incentivo e educação estão gerando os resultados esperados.

No entanto, o progresso nas novas tecnologias, como o IPv6 e as DNSSEC, está só começando. Esta questão não é exclusiva de nossa região. São encontrados resultados semelhantes em todo o mundo. É importante unir-se às campanhas de outras regiões e continuar implementando essas importantes tecnologias.

ANEXOS

A. Glossário

DNS: arquitetura do sistema de nomes de domínio que permite a associação de nomes de host, como www.example.com e um endereço IP, como 2001:1398::1 ou 200.7.7.3.

NS: servidor de nomes do sistema DNS. Este documento faz referência a um dos servidores oficiais controlados pelo titular do nome de domínio.

Domínio: subdivisão nos rótulos de um nome de host que representa uma única unidade administrativa. IP: número que representa um local de serviços na Internet. Há dois tipos: a versão 6 (IPv6) e a antiga versão 4 (IPv4).

ASN: número do sistema autônomo. É um identificador que representa uma organização da Internet a cargo do roteamento de informações entre diversos servidores.

DNSSEC: extensões de segurança do DNS que permitem fornecer autenticidade e integridade nas respostas.

B. Bibliografia

[1]: "LACTLD Statistics Survey 2015" (Pesquisa estatística da LACTLD de 2015), segundo trimestre de 2015.

[2]: Os membros da LACTLD, no momento do estudo, eram os seguintes ccTLDs: ai, ar, aw, bo, br, bz, cl, co, cr, cu, cw, do, ec, gt, gy, hn, ht, mx, ni, pa, pe, pr, py, sv, uy e ve.

[3]: RFC1912, “Common DNS Operational and Configuration Errors” (Erros operacionais e de configuração comuns no DNS)

[4]: RFC2181, “Selection and Operation of Secondary DNS Servers” (Seleção e operação de servidores secundários do DNS)

C. Agradecimentos

Este estudo foi criado como um projeto do planejamento estratégico da região LAC da ICANN. O grupo original do projeto era formado por Alejandro Acosta (LACNIC), Juan Manuel Rojas (LACRALO), Antonio Alberti e Victor Hugo Fernandes (INATEL), e Hugo Salgado (NIC do Chile) como coordenador. Esse grupo definiu as medidas a serem analisadas e o mecanismo de coleta.

Agradecemos o apoio prestado pela ICANN, que doou um servidor no qual foi instalado o coletor ativo para medições e por armazenar os dados.

Em relação ao apoio obtido na análise de dados, destacamos a ajuda dos laboratórios do NIC do Chile, especialmente de seu diretor, Javier Bustos e da engenheira Maite González.

Finalmente, gostaríamos de agradecer o apoio e a confiança da equipe da ICANN, especialmente de Rodrigo Saucedo e Rodrigo de la Parra, juntamente com a diretora executiva da LACTLD, Carolina Aguerre.

A ferramenta de coleta de dados utilizada é a DNSdelve, que faz parte do pacote DNSwitness, criado pela AFNIC e que está disponível para a comunidade.

D. Autor e contato

Hugo Salgado Hernández Engenheiro de projetos

NIC Chile – Universidade do Chile Miraflores 222, Piso 14, Santiago, CL hsalgado@nic.cl