DNSSEC

Τρόπος λειτουργίας και Αλυσίδα εμπιστοσύνης

Το DNSSEC κάνει χρήση ενός επικεντρωμένου μοντέλου εμπιστοσύνης από πανω προς τα κάτω, υπογράφοντας αρχικά μία κύρια ζώνη εμπιστοσύνης . Η υπογεγραμμένη κύρια ζώνη ταυτοποιεί άμεσα την πρώτη ζώνη των κατανεμημένων DNS server, αυτοί με τη σειρά τους τη δεύτερη κοκ δημιουργώντας έτσι μία αλυσίδα εμπιστοσύνης (chain of trust).
http://en.wikipedia.org/wiki/Domain_Name_System_Security_Extensions
http://www.DNSSEC.net/
Το σύνολο επεκτάσεων του DNSSEC σχεδιάστηκε έτσι ώστε να παρέχει
a. Πιστοποίηση Προέλευσης (origin authentication) των δεδομένων DNS []Πιστοποίηση ότι τα δεδομένα ήρθαν από τον αναμενόμενο αποστολέα.
b. Ακεραιότητα των Δεδομένων (data integrity)[] Τα δεδομένα αυτά καθαυτά είναι σωστά
c. Πιστοποιημένη άρνηση ύπαρξης (authenticated denial of existence) []Πιστοποίηση μιας απάντησης «δεν υπάρχουν δεδομένα»
Αυτός ο μηχανισμός απαιτεί αλλαγή στο DNS. Έτσι το DNSSEC προσθέτει 4 νέα πεδία εγγραφών (Recursive Records - RR) στα μηνύματά του:
1. Resource Record Signature (RRSIG) Οι ψηφιακές υπογραφές αποθηκεύονται στο πεδίο εγγραφής RRSIG και χρησιμοποιούνται από τη διαδικασία αυθεντικοποίησης του DNSSEC όπως περιγράφεται στο [RFC4035].
2. DNS Public Key (DNSKEY ) Τα δημόσια κλειδιά αποθηκεύονται στο πεδίο εγγραφής DNSKEY και χρησιμοποιούνται στην διδαδικασία αυθεντικοποίησης όπως περιγράφεται στο [RFC4035]
3. Delegation Signer (DS) Μια εγγραφή DS σχετίζεται με το DNSKEY RR αποθηκεύοντας τον αριθμό του αλγορίθμου που χρησιμοποιείται και την σύνοψη (digest) του DNSKEY RR. [RFC4035]
4. Next Secure (NSEC) χρησιμοποιείται στην αλυσίδα εμπιστοσύνης
Για να υποστηρίξει το μέγεθος των μηνυμάτων DNS - που αναπόφευκτα αυξάνεται – προστίθενται και δύο νέα πεδία κεφαλίδας (Header Flags): Checking Disabled (CD) και Authenticated Data (AD).
Ελέγχοντας την υπογραφή ο client μπορεί να ξέρει αν το μήνυμα είναι αυθεντικό και ολοκληρωμένο.
Η κύρια ζώνη του DNS (servers A-M) υπογράφηκε το καλοκαίρι του 2010 (July 15, 2010). Οι άγκυρες εμπιστοσύνης είναι διαθέσιμες από την IANA. data.iana.org/root-anchors/
Το DNS είναι ένα point-to-point protocol σε αντίθεση για παράδειγμα με το ssh που εξασφαλίζει ασφάλεια σε όλο το μήκος της διαδρομής των δεδομένων.
https://web.archive.org/web/20120616091701/http://pages.uoregon.edu/joe/port53wars/port53wars.pdf

Αναγκαιότητα χρήσης DNSSEC

http://en.wikipedia.org/wiki/Domain_Name_System_Security_Extensions
Είναι επομένως φανερό ότι η αναπτυξη και η αποδοχή του DNSSEC είναι κρίσιμης σημασίας θέμα για την ασφάλεια στο διαδίκτυο, αν και υπήρξαν διάφορα προβλήματα όπως:
· την ανάγκη για συμβατότητα προς τα πίσω
· τις διαφορετικές υλοποιήσεις για ένα ευρύ πλήθος DNS servers και clients
· την προστασία από την «απαρίθμηση ζώνης» λύθηκε: "DNSSEC Hashed Authenticated Denial of Existence" (ανεπίσημα ως "NSEC3")
· διαφωνία για το ποιος θα κατέχει τα κλειδιά της κύριας ζώνης
· εξάλειψη της μεγάλης πολυπλοκότητας του DNSSEC και της ανάπτυξής του
http://networkerslog.blogspot.com/search/label/DNSSEC

Domain Name System Security (DNSSEC) Αλγόριθμοι

Οι εγγραφές πόρων DNSKEY , RRSIG, DS χρησιμοποιούν έναν 8-bit αριθμό ο οποίος προσδιορίζει τον αλγόριθμο ασφαλείας που χρησιμοποιείται σε κάθε περίπτωση.