05 - Hierarquia de Nomes

video explicativo

Video explicativoEspaco reservado para o video desta anotação — adicione video: https://youtu.be/... no frontmatter da nota.

Hierarquia de Nomes (DNS)

1. Definição e Estrutura Lógica

A Hierarquia de Nomes do sistema DNS é a estrutura lógica de dados que permite a organização e a unicidade de cada identificador de recurso na Internet. Baseado em um modelo de Árvore Invertida, o DNS segmenta o espaço de nomes em domínios e subdomínios, distribuindo a autoridade técnica e administrativa de forma a evitar conflitos e permitir uma escalabilidade virtualmente infinita. Entender a hierarquia é fundamental para compreender como a resolução de nomes transita da "raiz" do mundo até o dispositivo final.

Características Fundamentais

Modelo: Árvore invertida (raiz no topo, folhas na base).
Profundidade máxima prática: 127 níveis (limite do protocolo, raramente excedido além de 6-7).
Tamanho máximo de nome: 253 caracteres no FQDN; 63 por rótulo (RFC 1035).
Charset: ASCII case-insensitive (a-z, 0-9, hífen); IDN permite Unicode via Punycode (RFC 3492).

2. O Modelo da Árvore de Nomes Invertida

Ao contrário de sistemas de arquivos tradicionais, onde a raiz está na base, a árvore DNS cresce de cima para baixo.

A Raiz (Root Zone): O topo absoluto da hierarquia, representado tecnicamente por um ponto final (.).
Níveis de Profundidade: Cada ponto em um nome de domínio (ex: www.google.com) representa um salto de nível na hierarquia, lido da direita para a esquerda.

Anatomia de um FQDN

www . google . com .
 |      |       |   |
 |      |       |   └── Raiz (geralmente omitida, mas tecnicamente presente)
 |      |       └────── TLD (Top-Level Domain)
 |      └────────────── SLD (Second-Level Domain)
 └───────────────────── Subdomínio/Host

A raiz é frequentemente omitida em uso cotidiano (www.google.com), mas em arquivos de zona BIND o ponto final é obrigatório para indicar um FQDN absoluto: www IN A 192.0.2.1 é relativo ao domínio corrente, enquanto www.google.com. IN A 192.0.2.1 é absoluto.

3. Segmentação e Delegação de Autoridade

A grande inovação técnica da hierarquia DNS é a Delegação. Um servidor de nível superior não armazena todas as informações de seus descendentes; ele apenas aponta para os servidores que têm autoridade sobre o próximo nível.

Camadas da Hierarquia

Nível	Função	Exemplo
Raiz (Root)	Conhece os servidores dos TLDs	`.` (13 clusters de servidores raiz, A a M)
TLD (Top-Level Domain)	Conhece servidores autoritativos de SLDs	`.com`, `.br`, `.org`, `.gov`
SLD (Second-Level Domain)	Gerencia subdomínios e hosts	`google.com`, `empresa.com.br`
3LD / Subdomínio	Subdivisões internas	`mail.empresa.com`, `api.v2.app.com`
Host	Folha da árvore (registro A/AAAA)	`www`, `smtp`, `ns1`

TLDs Classificados pela ICANN

gTLD (Generic): .com, .org, .net, .info, .biz.
ccTLD (Country Code): .br, .us, .uk, .jp, .de (ISO 3166-1 alpha-2).
sTLD (Sponsored): .edu, .gov, .mil, .aero, .museum.
New gTLD: .app, .dev, .tech, .xyz (expansão de 2012+).

4. O FQDN (Fully Qualified Domain Name)

A hierarquia obriga o uso do FQDN, que é o nome completo e sem ambiguidades de um recurso.

Estrutura: [host].[subdomínio].[domínio].[TLD].[raiz]
Unicidade Global: O FQDN garante que dois servidores chamados mail possam existir simultaneamente na rede global, desde que pertençam a domínios diferentes (ex: mail.google.com. vs mail.empresa.br.).

Diferença entre PQDN e FQDN

PQDN (Partially Qualified): www (assume o domínio local corrente).
FQDN (Fully Qualified): www.empresa.com. (ponto final indica raiz explícita).

Em browsers, o sistema operacional adiciona automaticamente o sufixo de domínio configurado (search domain) a um PQDN para completá-lo.

5. Funcionamento da Resolução Hierárquica

O fluxo de resolução de um nome segue a hierarquia de forma Iterativa ou Recursiva.

Consulta Iterativa (Iterative Query)

O servidor consultado não faz todo o trabalho. Ele responde com a "melhor resposta que possui" (uma indicação de autoridade - Referral).

O servidor Raiz diz: "Não sei o IP de google.com, mas aqui está o IP do servidor .com."
O Resolver do cliente então vai até o servidor .com.

Consulta Recursiva (Recursive Query)

A carga de trabalho é transferida para o servidor DNS recursivo do usuário. Ele percorre toda a árvore em nome do cliente, retornando apenas a resposta final (o endereço IP).

Fluxo Típico Completo

Browser pede www.exemplo.com ao resolver local.
Resolver local verifica cache — se válido, responde imediatamente (cache hit).
Se inválido, consulta servidor raiz (a.root-servers.net).
Raiz retorna lista de servidores .com (referral).
Resolver consulta servidor .com autoritativo (a.gtld-servers.net).
Servidor .com retorna servidores autoritativos de exemplo.com.
Resolver consulta servidor autoritativo de exemplo.com.
Recebe registro A e entrega ao browser.
Cacheia a resposta conforme TTL do registro.

6. Perspectiva de Cyber Security: Ataques na Cadeia de Confiança

Como o DNS é um sistema hierárquico, a confiança em um nível depende da integridade do nível superior.

Zone Hijacking (Sequestro de Zona)

Se um atacante comprometer a autoridade de um TLD (como o .br), ele pode desviar o tráfego de qualquer domínio dentro daquela extensão para servidores maliciosos.

Ameaça: Ataques massivos aos servidores Root ou TLDs são considerados eventos de "risco sistêmico" para a Internet global.
Caso histórico: Em 2010, ataques ao registro .af (Afeganistão) desviaram tráfego militar por horas.

DNS Shadowing

Atacantes que obtêm acesso às credenciais do painel de controle do registrador de um domínio criam inúmeros subdomínios imperceptíveis (ex: vpn-1.empresa.com) para hospedar malware, enquanto o domínio principal permanece funcional, dificultando a detecção por administradores humanos.

Subdomain Takeover

Quando uma empresa cria um CNAME apontando para um serviço de nuvem (ex: AWS S3, Heroku) e depois desativa o serviço sem remover o CNAME, um atacante pode registrar aquele recurso no provedor e "tomar" o subdomínio.

Cache Poisoning na Cadeia

Atacantes que conseguem envenenar o cache de um resolvedor recursivo podem "enxertar" respostas falsas para todos os clientes que usam aquele resolvedor, mesmo mantendo intactos os servidores autoritativos legítimos.

7. Diagnóstico e Auditoria da Árvore DNS

Para visualizar a hierarquia em ação, utilizamos o rastreamento técnico de delegações:

# Rastreio completo da hierarquia desde a raiz
dig +trace www.google.com

# Listar apenas os servidores de TLD
dig NS com. @a.root-servers.net +short

# Verificar delegação de um domínio específico
dig NS google.com @a.gtld-servers.net +short

Este comando mostra ao analista de segurança:
1. A resposta do servidor Raiz indicando os servidores .com.
2. A resposta do servidor .com indicando os servidores autoritativos do google.com.
3. A resposta final do autoritativo com o registro A.

WHOIS para Verificação de Delegação Administrativa

# Verificar quem é o registrante de um domínio
whois google.com

# Verificar servidores de nomes delegados
whois -h whois.verisign-grs.com "domain google.com" | grep "Name Server"

8. Anatomia do Sistema Raiz

Existem 13 endereços IP lógicos para servidores raiz (letras A a M), mas graças a Anycast e IPv6, existem fisicamente mais de 1.700 instâncias globais. Os operadores incluem:

Letra	Operador Principal	Exemplo de IP
A	Verisign	198.41.0.4
B	USC-ISI	199.9.14.201
C	Cogent Communications	192.33.4.12
F	ISC (Internet Systems Consortium)	192.5.5.241
K	RIPE NCC	193.0.14.129

A aparente limitação de 13 servidores vem da época em que a resposta DNS de uma consulta raiz precisava caber em 512 bytes (UDP clássico antes de EDNS0). Com EDNS0, esse limite é flexibilizado, mas a contagem de 13 clusters foi mantida por compatibilidade.

9. Conclusão: A Resiliência da Ordem

A hierarquia de nomes DNS é o que permite à rede ter uma estrutura administrativa lógica. Ela resolve o desafio da escala global através da partição de dados e delegação técnica. Compreender a mecânica desta árvore e como a autoridade flui entre os níveis é indispensável para qualquer profissional que atue na gestão de identidades digitais, infraestrutura de nuvem ou perícia em segurança de redes.

Atributo	Valor
RFCs principais	RFC 1034 (conceitos), RFC 1035 (implementação)
Modelo	Árvore invertida
Níveis típicos	4-5 (raiz, TLD, SLD, subdomínio, host)
Total de TLDs	Mais de 1.500 (entre gTLDs, ccTLDs e novos)
Servidores raiz lógicos	13 clusters (A-M), milhares de instâncias físicas
Mecanismo de confiança	Delegação NS + DNSSEC (quando habilitado)

A hierarquia não é apenas uma abstração teórica — é a engenharia que faz a Internet funcionar todos os dias, distribuindo autoridade entre milhares de organizações sem que nenhuma precise confiar cegamente em outra.