Estado atual da implantação do DNSSEC: um panorama da segurança no DNS

Abstract

O Sistema de Nomes de Domínio (DNS) é uma infraestrutura essencial da Internet, permitindo a tradução de nomes legíveis para endereços IP. Contudo, seu design original, criado em um contexto de confiança acadêmica, não inclui mecanismos de autenticação ou verificação de integridade, tornando-o vulnerável a ataques como spoofing e cache poisoning. O DNSSEC surgiu como uma extensão criptográfica para resolver essas limitações, adicionando assinaturas digitais, registros específicos — como DNSKEY, RRSIG, DS, NSEC e NSEC3 — e uma cadeia de confiança hierárquica que autentica cada etapa da resolução de nomes. Apesar da sua robustez técnica, a adoção do DNSSEC é historicamente lenta devido à complexidade operacional, ao risco de erros na gestão e rotação de chaves, ao suporte limitado dos registrars e ao baixo incentivo econômico para sua implantação. Estudos recentes mostram que, embora haja avanços em automação com CDS/CDNSKEY e o novo mecanismo Authenticated Bootstrapping, esses recursos ainda apresentam adoção restrita. Pesquisas também revelam discrepâncias significativas entre TLDs incentivados e não incentivados, além de uma baixa taxa de validação pelos resolvedores, o que limita o impacto prático do DNSSEC para o usuário final. Assim, embora a tecnologia tenha evoluído e ofereça melhorias substanciais de segurança, o fator mais determinante para sua ampliação permanece sendo a existência de incentivos institucionais, regulatórios e econômicos. Desse modo, o futuro do DNSSEC dependerá não apenas do avanço técnico, mas da capacidade de coordenar operações entre registrars, registries e operadores, criando um ecossistema favorável à sua adoção em larga escala. Palavras-chave: DNSSEC; DNS; Adoção.

The Domain Name System (DNS) is a fundamental component of the Internet, enabling the translation of human-readable names into IP addresses. However, its original design, developed in an academic and trusted environment, lacks authentication and integrity mechanisms, making it vulnerable to attacks such as spoofing and cache poisoning. DNSSEC was introduced as a cryptographic extension to address these limitations by adding digital signatures, specific records—such as DNSKEY, RRSIG, DS, NSEC, and NSEC3—and a hierarchical chain of trust that authenticates each stage of name resolution. Despite its technical robustness, DNSSEC adoption has progressed slowly due to operational complexity, risks associated with key management and rollover, limited registrar support, and low economic incentives for deployment. Recent studies show that, although automation mechanisms such as CDS/CDNSKEY and the newer Authenticated Bootstrapping improve operational reliability, their adoption remains limited. Research also highlights substantial disparities between incentivized and non-incentivized TLDs, as well as low validation rates by recursive resolvers, which reduces the practical security benefits for end users. Thus, although the technology has evolved and offers significant security improvements, institutional, regulatory, and economic incentives remain the most decisive factors influencing widespread adoption. Therefore, the future of DNSSEC will depend not only on technical evolution but also on coordinated efforts among registrars, registries, and operators to create an environment conducive to large-scale deployment. Keywords: DNSSEC; DNS; Adoption.