La Corporación de Internet para la Asignación de Nombres y Números (ICANN) ha comunicado que los sitios que habían resultado afectados por una vulnerabilidad vinculada a PHP han sido restaurados y que sus equipos están trabajando en medidas para mitigar el problema. Paralelamente, la organización ha puesto en marcha un proceso de consulta pública para recabar aportes sobre cómo automatizar operaciones de DNSSEC en la zona raíz y en los registros de dominios de nivel superior (TLD).
Qué pasó con la vulnerabilidad de PHP y el impacto
ICANN señaló que una falla de seguridad relacionada con PHP provocó interrupciones en algunos servicios y afectó la disponibilidad de ciertos sitios. La entidad afirma haber restaurado los sitios impactados, aunque en su comunicado no se detallaron los vectores concretos de explotación, ni versiones específicas de PHP implicadas.
Para administradores de servidores y responsables de sitios web, la noticia indica que ICANN ya ha realizado acciones de recuperación. Sin embargo, al no ofrecerse datos técnicos en el comunicado, lo prudente es revisar registros y controles locales para confirmar si sus propios servicios se vieron afectados o si hubo accesos o cambios no autorizados.
Consulta pública sobre automatización de DNSSEC
Además de la respuesta ante la vulnerabilidad, ICANN ha abierto un periodo para recibir comentarios y propuestas sobre la automatización de DNSSEC en la raíz y en los TLD. DNSSEC (Domain Name System Security Extensions) añade firmas criptográficas a las respuestas DNS para garantizar la autenticidad e integridad de los datos, protegiendo contra manipulaciones como el envenenamiento de caché o la suplantación de zonas.
La propuesta de automatizar procesos de DNSSEC busca facilitar tareas que hoy en muchos casos se realizan de forma manual o con procedimientos semiautomáticos, como la rotación de claves, la firma de zonas y la publicación de claves públicas en registros delegados. La automatización podría reducir errores humanos, acelerar despliegues y mejorar la seguridad operativa de la infraestructura del DNS a gran escala.
Qué cambia y a quién afecta
- Operadores de TLD y gestores de zonas raíz: serían los directamente involucrados en la implementación de cualquier mecanismo de automatización que acuerde la comunidad. Cambios en procesos y herramientas operativas podrían ser necesarios.
- Registradores y registrantes: podrían verse afectados indirectamente si los flujos de publicación de claves o firmados de zona cambian; por ejemplo, si se introducen APIs estándar para la entrega de material criptográfico.
- Administradores de servidores DNS y proveedores de servicios DNS: necesitarán adaptar sus sistemas para interoperar con los nuevos procesos automatizados y revisar sus controles de seguridad alrededor de gestión de claves y autenticación de APIs.
Qué deben hacer los administradores y dueños de webs
- Comprobar logs y estados: revisen los registros de acceso y los logs del servidor para confirmar que no hubo intrusiones o cambios indeseados durante el incidente relacionado con PHP.
- Actualizar y validar PHP: aunque ICANN no dio versiones concretas, es buena práctica mantener PHP y las extensiones actualizadas a versiones soportadas y aplicar parches de seguridad.
- Reforzar DNSSEC local: si su dominio usa DNSSEC, verifiquen que las claves, firmas y TTL estén correctos; prueben la validación desde clientes recursivos y servicios externos.
- Seguir la consulta de ICANN: los operadores y administradores interesados en influir en la automatización de DNSSEC deberían participar en la consulta pública y aportar experiencia operativa, requisitos de seguridad y propuestas técnicas.
Contexto y próximos pasos
La combinación de un incidente de seguridad que afectó la disponibilidad y una iniciativa para avanzar en la automatización de DNSSEC pone de relieve dos prioridades para la infraestructura de Internet: respuesta ágil a vulnerabilidades en software crítico (como PHP) y modernización de los procesos criptográficos que aseguran el DNS a escala global.
ICANN seguirá recopilando comentarios en su proceso público; quienes administren TLD, zonas DNS o servicios asociados tienen la oportunidad de presentar propuestas y preocupaciones técnicas que puedan integrarse en una eventual hoja de ruta para la automatización de DNSSEC.
Lee también:
- Guía de entregabilidad de Gmail: claves para mantener el correo en la bandeja de entrada
- Afternic abre su Portfolio API para vendedores: qué ofrece y cómo puede ayudar a gestionar carteras de dominios
Fuente: Techeconomy
