DNS og DNSSEC. Magni Onsøien

Transkript

1 DNS og DNSSEC Magni Onsøien

2 Om meg Cand. scient. i informatikk fra NTNU Har jobbet med IT-drift i 20 år Deltidsjobb i studietida Jobbet som konsulent fra 2000 til 2004, så sprakk bobla - men vi var stolte over å ha gitt jobb til 4-5 personer i 5 år. NTNU i Trondheim et par-tre år Uninett Norid AS fra 2007 til 2017 Starter som cybertrusselanalytiker i Bane Nor 1. februar

3 Erfaring og endringer Få erfaring, ikke stå på bar bakke når du er ferdigutdannet. Prøv gjerne litt forskjellig, jeg angrer på at jeg aldri har sittet i kassa på Rema eller jobbet som barista. Du lærer hva du liker, og ikke minst lærer du om arbeidslivet slik at du har noe å sammenlikne med Husk at omveltninger er slitsomme - enten det er ny jobb, nytt hus, ny partner eller nye barn. Du må regne med at du må omprioritere etter slike ting. Det er lettere å angre seg om du har kuttet ut for mye, enn om du treffer veggen fordi du trappet ned for lite Som regel er man (minst) to om de fleste omveltninger. Del på dem!

4 Hva er DNS DNS = Domain name system Definert i RFC 1034, 1035 (RFC = internettstandard) DNS er et system for å koble navn på maskiner/tjenester til IP-adresser IP-adresser er numeriske adresser som brukes for kommunikasjon mellom datamaskiner på internet Hierarkisk og distribuert system Første spesifikasjon (RFC 822) utgitt i 1983, fortsatt i bruk Før DNS: tekstfil som ble oppdatert og distribuert (som telefonkatalogen på papir) Grunnleggende uendret siden den gang - robust!

5 DNS-hierarkiet

6 Oppslag av navn

7 Eksempel: DNS-oppslag uten DNSSEC # dig norsis.no ; <<>> DiG P1 <<>> norsis.no NS ; (1 server found) ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 865 ;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 0 ;; QUESTION SECTION: ;norsis.no. IN NS ;; ANSWER SECTION: norsis.no IN NS ns1.proisp.no. norsis.no IN NS ns2.proisp.no.

8 Løsning: kryptografisk signering Dette kalles DNSSEC (Domain Name System Security Extensions) definert i RFC4033, 4034, 4035 data (navn) signeres med en privat nøkkel, og verifiseres med en offenlig - som med andre nøkkelpar-algoritmer Da vet vi HVOR svaret kommer fra og at det er KORREKT

9 Men vi vet ingenting om... krypert forbindelse (SSL, https, kvalitet på sertifikat) utstedelse av falske sertifikater er et relativt stort problem, det er ikke alle sertifikatutstedere man bør stole på sikkerhet på serveren (patching, virus, XSS...) innholdet som sådan

10 Eksempel: oppslag med DNSSEC (1) Usignert domene # dig norsis.no +dnssec ; <<>> DiG P1 <<>> norsis.no NS +dnssec ; (1 server found) ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 865 ;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 0 ;; QUESTION SECTION: ;norsis.no. IN NS ;; ANSWER SECTION: norsis.no IN NS ns1.proisp.no. norsis.no IN NS ns2.proisp.no.

11 What could possibly go wrong?.ingen garanti for at svaret faktisk kommer fra den navnetjeneren vi tror Vi kan få injisert falske svar fra andre kilder underveis Vi kan ha feil i programvare eller i oppsett

12 Eksempel: oppslag med DNSSEC (2) DNSSEC-signert domene #dig pir.org +dnssec +multi ; <<>> DiG <<>> pir.org NS +dnssec +multi ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: ;; flags: qr rd ra ad; QUERY: 1, ANSWER: 2, AUTHORITY: 5, ADDITIONAL: 1 ;; ANSWER SECTION: pir.org. 300 IN NS ns1.yyz1.afilias-nst.info. pir.org. 300 IN NS ns1.sea1.afilias-nst.info. pir.org. 300 IN NS ns1.mia1.afilias-nst.info. pir.org. 300 IN NS ns1.ams1.afilias-nst.info. pir.org. 300 IN RRSIG NS ( pir.org. wv3puz9ocmdxq1gyzkoaxk7hskw4tmmcoyaoqjhvi8j5vmfvwnqyefiijqoxhzl9xt/jrdosko/xn0wngboymq4c J6tzXGAPRWIWYoaRlti1HDk3YR1o8fm9utk4a2XgiOSRolhUaumUnQF+wjfIMdtjWCsBxGAydjQ6nNYoHxE= )

13 What could possibly go wrong nå da? Vedlikeholdsproblemer man ikke hadde før signaturer og nøkler utløper Mer komplisert oppsett...og da virker det ikke.

14 Når DNSSEC feiler...da får man ikke svar #dig ; <<>> DiG P2 <<>> ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: ;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 0 ;; QUESTION SECTION: ; IN A ;; Query time: 108 msec ;; SERVER: #53( ) ;; WHEN: Fri Nov 19 16:08: ;; MSG SIZE rcvd: 39

15 Hva kan du gjøre? Er domenet ditt signert? Kan ISPen eller domeneleverandøren din signere det? og kan de vedlikeholde det? Er du forberedt på at brukerene dine faktisk skal og vil få feilmeldinger dersom domenet ditt får en feil i DNSSEC-oppsettet?

16 Noen viktige DNSSEC-milepæler 2007:.se er det første toppdomenet i verden som åpner for å ta i bruk DNSSEC til å sikre sine domener. Fordi det øverste nivået i domenenavnsystemet ikke er sikret, må.se lage en midlertidig løsning for å kompensere for dette. 2010: Det øverste nivået i domenenavnsystemet sikres med DNSSEC. 2014: Støtte for teknologien er utbredt i de mest brukte programvarene for oppslag i domenenavnsystemet. DNSSEC tas i bruk for norske domenenavn.

17 Rikets tilstand 57-58% av domener under.no er signert Rundt 72% av alle domenenavnoppslag i Norge validerer, dvs at DNSSEC-signaturer sjekkes. Begge deler er blant de høyeste i Europa - men fortsatt er rundt 40% av domenene usignerte, og 28% av alle navneoppslag sjekker ikke om domenene er signert og om signaturen stemmer.

18 Takk for meg!