Výmena hlavného bezpečnostného kľúča Internetu sa odkladá

Značky: DNSbezpečnosťInternet

DSL.sk, 29.9.2017

Výmena hlavného bezpečnostného kľúča systému DNSSEC zabezpečujúceho koreňovú root zónu systému DNS sa odkladá.

Aktuálne to oznámila organizácia ICANN, ktorá koreňovú DNS zónu zabezpečuje.

DNS je systémom zabezpečujúcim preklad doménových mien na IP adresy používané samotným internetovým protokolom komunikácie, IP. Pre reálnu funkčnosť Internetu je tak kľúčovým.

DNSSEC je štandardom, ktorý do pôvodne nezabezpečeného systému DNS pridal kryptografické overovanie odpovedí DNS serverov. Na Internete sa vyskytovali a stále vyskytujú útoky, ktoré pomocou falšovania odpovedí DNS rozličnými spôsobmi presmeruvávajú užívateľov namiesto skutočných serverov pre danú doménu na servery pod kontrolou útočníkov.

DNSSEC tomu zabraňuje, keď odpovede kryptograficky podpisuje. Hoci viaceré internetové protokoly a aplikácie môžu a majú nasadenú kryptografickú ochranu aj na vyšších úrovniach, DNSSEC je kľúčový pre zabezpečenie istej úrovne bezpečnosti pre protokoly nevyužívajúce vlastnú ochranu.

Podporu DNSSEC už pred približne dekádou zaviedli viaceré domény najvyššej úrovne a následne v roku 2010 bola podpora pridaná aj do root zóny DNS. DNS servery slovenskej domény najvyššej úrovne .sk zabezpečované správcom domény SK-NIC-om DNSSEC stále nepodporujú.

Root zóna od 2010 používa rovnaký hlavný tzv. KSK, key signing key, označovaný ako KSK-2010.

Už pred rokom bol vygenerovaný nový hlavný kľúč označovaný ako KSK-2017 a začalo plánovanie výmeny kľúčov a nasadenie nového. Dátum výmeny a začiatok používania nového bol konkrétne stanovený na 11. október tohto roka.

Pri výmene je potrebné zabezpečiť, aby všetky DNS servery prekladajúce domény na IP adresy podporujúce DNSSEC mali verejnú časť nového asymetrického KSK kľúča. Používané softvéry na realizáciu DNS typicky majú zabudovanú podporu automatického získania tohto kľúča.

Štatistiky ICANN teraz ale ukázali, že cca 5% DNS serverov majúcich podporu hlásenia inštalovaných root KSK má stále iba starý KSK-2010. ICANN sa tak rozhodla výmenu odložiť.

Podľa ICANN dôvodmi môže byť zlá konfigurácia DNS serverov a chyba v automatickej aktualizácii objavená v jednom DNS softvéri, o ktorý ide ale neuvádza.

Nový termín zatiaľ naplánovaný nie je, podľa oznámenia to zrejme bude minimálne za viac ako tri mesiace. V oznámení totiž avizuje, že dúfa v termín v prvom štvrťroku 2018.


Najnovšie články:



Diskusia:

odporucam Od: asdfa | Pridané: 29.9.2017 12:02 nbusr123, bezpecnejsie to uz nejde Odpovedať Známka: 9.2 Hodnotiť:

dnes má meniny Nový rok, Deň vzniku SR Od: _Buržuj | Pridané: 29.9.2017 12:03 Záložný mám po rohožkou. Odpovedať Známka: 8.3 Hodnotiť:

nam je to jedno Od: r0b0 | Pridané: 29.9.2017 12:45 Nám je to jedno - sk doméne podpísaná nie je. Však načo by nám bol dnssec, keď máme sk-nic Odpovedať Známka: 10.0 Hodnotiť:

Re: nam je to jedno Od: bidlo | Pridané: 29.9.2017 13:23 no, nemame Odpovedať Známka: 9.3 Hodnotiť:

Re: nam je to jedno Od: sensei-san | Pridané: 29.9.2017 14:31 Čo tu šíriš za bludy a ohovárania? SK-NIC plánovalo zaviesť DNSSEC v roku 2008! http://tinyurl.com/ybmvypto To nie je meškanie ani len 10 rokov. /sarcasm Btw, jednu časť kľúča, o ktorom rozpráva článok, má Ondřej Surý - z CZ.NIC. Odpovedať Známka: -3.3 Hodnotiť:

Re: nam je to jedno Od: Skurf12 | Pridané: 1.10.2017 5:27 Fico si to Ty? Odpovedať Hodnotiť:

Re: nam je to jedno Od: juraj michael | Pridané: 29.9.2017 22:23 presne tak, nam nehrozi sk-NIC. Odpovedať Hodnotiť:

Re: nam je to jedno Od: fsdfsd | Pridané: 29.9.2017 22:40 my na SK mame NIC :D Odpovedať Hodnotiť:

netrebamenitkluce Od: svatopluk | Pridané: 29.9.2017 16:21 klúče od míšačky netreba meniť no ved však. Odpovedať Hodnotiť:

Re: netrebamenitkluce Od reg.: roob_ | Pridané: 29.9.2017 19:28 kazdy ucen vie, ze najdolezitejsi je fajrontovy kluc! Odpovedať Známka: 10.0 Hodnotiť:

dailystormer Od: Ahmed Mustafa | Pridané: 30.9.2017 6:45 Napíšte článok o webe Dailystormer, ktorému registrátory zrušili už množstvo domén, v rozpore s net neutrality. Posledne vyzerá, že aj na doméne Islandu, .is Odpovedať Hodnotiť:

Pridať komentár