Kľúče zabezpečujúce celý Internet sa budú podpisovať novými notebookmi

Značky: DNSbezpečnosťInternetzaujímavosti

DSL.sk, 16.7.2018

Organizácia ICANN prevádzkujúca a zabezpečujúca koreňovú DNS zónu Internetu po prvýkrát od spustenia zabezpečeného DNS vymení hardvér a softvér používaný na podpisovanie hlavným kľúčom.

Organizácia to avizovala minulý týždeň.

DNS je systémom zabezpečujúcim preklad doménových mien na IP adresy používané samotným internetovým protokolom komunikácie, IP. Pre reálnu funkčnosť Internetu je tak kľúčovým.

DNSSEC je štandardom, ktorý do pôvodne nezabezpečeného systému DNS pridal kryptografické overovanie odpovedí DNS serverov. Na Internete sa vyskytovali a stále vyskytujú útoky, ktoré pomocou falšovania odpovedí DNS rozličnými spôsobmi presmeruvávajú užívateľov namiesto skutočných serverov pre danú doménu na servery pod kontrolou útočníkov.

DNSSEC tomu zabraňuje, keď odpovede kryptograficky podpisuje. Hoci viaceré internetové protokoly a aplikácie môžu a majú nasadenú kryptografickú ochranu aj na vyšších úrovniach, DNSSEC je kľúčový pre zabezpečenie istej úrovne bezpečnosti pre protokoly nevyužívajúce vlastnú ochranu.

Podporu DNSSEC už pred približne dekádou zaviedli viaceré domény najvyššej úrovne a následne v roku 2010 bola podpora pridaná aj do root zóny DNS. DNSSEC pre root zónu sprevádzajú tie najprísnejšie bezpečnostné opatrenia. Hlavný tzv. KSK, key signing key, kľúč sa nachádza v hardvérovom module uloženom v bezpečných priestoroch, prístup k nemu majú iba špecifické osoby a je prísne kontrolovaný a jeho používanie sa riadi presne definovaným scenárom.

KSK sa konkrétne štyrikrát do roka používa na podpisovanie tzv. zónových kľúčov, ktoré sa následne už používajú na podpisovanie záznamov vracaných z root DNS serverov. Pre toto podpisovanie sa používajú na to určené upravené notebooky a Live DVD linuxová distribúcia postavená na Debiane. Od 2010 až doteraz sa používajú tie isté štyri kusy notebookov a softvér.

ICANN doplní vzhľadom na predpokladanú životnosť pôvodných kusov štyri nové notebooky, ktoré sa budú najskôr používať paralelne, a následne budú pôvodné vyradené. Organizácia nešpecifikuje vybraný model ani značku, iba požiadavky. Konkrétne pôjde o notebooky bez pevného disku a bezdrôtovej komunikácie ale s CD / DVD mechanikou, Ethernet sieťou, vyberateľnou batériou a minimálne štyrmi USB portami.

Upgradnutý bude aj operačný systém a softvér, minimálne pre potrebu nových ovládačov pre nový hardvér.

Slovensko zatiaľ vo vlastnej doméne výhody DNSSEC nemôže využívať, keď správca domény .sk SK-NIC stále DNSSEC nepodporuje. V susednej Českej republike bolo naopak DNSSEC nasadené ako v jednej z prvých domén najvyššej úrovne ešte pred root zónou, pričom tamojší správca CZ.NIC pred niekoľkými rokmi popísal ako realizuje podpisy notebookom uchovávaným v trezore.


Najnovšie články:



Diskusia:

Uvidíme Od: Qwerty kláveska | Pridané: 16.7.2018 19:42 Ja im to celé hacknem. Odpovedať Známka: 5.8 Hodnotiť:

Re: Uvidíme Od: jaaaaaaaaaaj | Pridané: 16.7.2018 20:07 Až sa zobudíš - alebo vytriezvieš. Odpovedať Známka: 5.7 Hodnotiť:

Re: Uvidíme Od: martincc | Pridané: 16.7.2018 20:55 Si na Slovensku tak preco nie oboje? Odpovedať Známka: 8.8 Hodnotiť:

Vodu pijem ale i vino pijem Od: syntaxterrorX. XX | Pridané: 16.7.2018 22:01 Lebo to by hackol polovicku a nedalo by sa zistit ktoru. Odpovedať Známka: 2.5 Hodnotiť:

Re: Vodu pijem ale i vino pijem Od: ffdf | Pridané: 16.7.2018 23:01 tú menšiu samozrejme :-) Odpovedať Známka: 10.0 Hodnotiť:

Re: Vodu pijem ale i vino pijem Od: snoop doggy dogg | Pridané: 17.7.2018 7:18 a co jebnuty slnieckarsky komunista Burzuj z centraly KSSSMERU dnes nic nenapisel? Odpovedať Známka: -10.0 Hodnotiť:

Re: Vodu pijem ale i vino pijem Od: Kiska za predsedu SAS | Pridané: 17.7.2018 10:28 slnieckarsky komunista je oxymoron. Jedine ak povazujes nutene stahovanie mensin, kolonializmus a kriminalizaciu za slnieckarske ;). Odpovedať Známka: 3.3 Hodnotiť:

Re: Uvidíme Od: Agent | Pridané: 17.7.2018 20:06 Ty vieš háčkovať?! Odpovedať Hodnotiť:

hmm.. Od: Snake... | Pridané: 16.7.2018 19:51 No, Apple to asi nebude :D Odpovedať Známka: 10.0 Hodnotiť:

na Kant Od: syntaxterrorX. XX | Pridané: 16.7.2018 20:32 Ale ved to je jasne. Tie by predsa kazdu chvilu vymienat netrebalo a s ovladacmi by problem priekazne nemal byt aky. Odpovedať Známka: -3.7 Hodnotiť:

Re: hmm.. Od: pherel | Pridané: 16.7.2018 22:39 Potrebujú notebooky s vyberateľnou batériou, tak Apple to určite nebude. Odpovedať Známka: 10.0 Hodnotiť:

Re: hmm.. Od: 65432122 | Pridané: 17.7.2018 7:03 Skôr asi myslel kvôli tým portom :D Odpovedať Známka: 10.0 Hodnotiť:

Re: hmm.. Od: _mj | Pridané: 17.7.2018 10:14 A bez wifi Odpovedať Známka: 10.0 Hodnotiť:

Re: hmm.. Od: awwda | Pridané: 17.7.2018 15:54 a s CD/DVD mechanikou Odpovedať Hodnotiť:

ničivý teoretik Od: syntaxterrorX. XX | Pridané: 17.7.2018 8:09 Ono... keby sa na dovody, preco jednoucelove zariadenie so specialnou distribuciou potrebuje displej a menezera nahliadalo z cisto bezpecnostneho hladiska, výhody, ako i celkovy vyznam, DNSSEC by bolo odborne priekazne nelahke obhajit. Odpovedať Známka: -2.0 Hodnotiť:

Pridať komentár