DNSSEC arbeidsmøte Trond Haugen Prosjektleder DNSSEC

Transkript

1 DNSSEC arbeidsmøte Trond Haugen Prosjektleder DNSSEC

2 Agenda 09:30: Velkommen - presentasjon av arbeidsgruppa 09:40: DNSSEC - hva og hvorfor 10:00: DNSSEC-prosjektet i Norid 10:15-11:30: Problemstillinger - presentasjon og diskusjon 11:30-12:30: Lunch 12:30-14:00: Problemstillinger - presentasjon og diskusjon, forts. 14:00-14:15: Pause 14:15-15:30: Problemstillinger - presentasjon og diskusjon, forts. 15:30-16:00: Oppsummering - hva gjøres videre? Slide 2

3 Arbeidsgruppa ISPHUSET TDC Benny Samuelsen Svein Tjemsland Domeneshop Ståle Schumacher Larsen Data Albix Basefarm Norid Peter Larsen, Kristian Øhrmen Christer Michaelsen Espen Eilertsen, Fredrik Skolmli Jarle Greipsland, Erik Østlyngen, Richard Persson, Trond Haugen Slide 3

4 DNSSEC - hva og hvorfor DNSSEC hva er greia, kort repetisjon Norids syn og målsetninger Slide 4

5 DNSSEC-prosjektet i Norid Startet så smått i 2012, og har full prioritet i 2013 To naturlige hovedfaser: - Fase 1: no-soner signeres Målsetning: i produksjon høst Fase 2: støtte for signerte delegeringer Målsetning: i produksjon vår 2014 Testsystem for registrarer tilgjengelig tidlig høst 2013 Vi behøver å få avklart en rekke ting så tidlig som mulig. Det er her viktig å få innspill fra registrarene på det som berører dere: - EPP-grensesnitt, forretningsprosesser/transfermodell - Hvilke grep kan vi gjøre for å rimelig raskt få opp volumet på signeringer? Få med de største registrarene ansees å være viktigst! Opplæring, hva er nødvendig kompetanse hos registrarer, og hvordan bygge den? Informasjon/markedsføring, hva bør gjøres? Anbefalinger: Programvare, HSM eller ikke, rutiner for signering Slide 5

6 Problemstillinger Avklare hvordan en kan gjøre det enkelt og forretningsmessig interessant for registrarene å tilby DNSSEC til sine kunder Krav til kompetanse hos registrarer og mulige opplegg for å opparbeide denne. Konkrete endringer i EPP-grensesnittet - Hvilke DNSSEC utvidelser skal vi ta i bruk? - Hvordan skal registrarbytte (transferprosedyren) være? Rolleavklaringer for registrarer, DNS-tilbydere, registry og registranter, hvordan oppdatere nøkler i registry? Problemstillinger ved skifte av DNS-operatør Hvilke hjelpe-verktøy og/eller -tjenester bør Norid tilby - Endringer i eksisterende, samt evt. nye. Hjelpe til med å få slått på validering hos resolveroperatører. Utarbeide krav og/eller anbefalinger for DNSSEC som passer for registrarer - Programvare, rutiner/roller, HSM (Hardware Storage Module) eller ikke.. Opplegg for utrulling av og blæsting om DNSSEC for.no. Har registrarene andre punkter? Slide 6

7 Problemstillinger - presentasjon og diskusjon - 1 Avklare hvordan en kan gjøre det enkelt og forretningsmessig interessant for registrarene å tilby DNSSEC til sine kunder - Registrarer kan gjøre egne ting, hva da? - Norid kan tilrettelegge, hva da? - Andre aktører? Slide 7

8 Problemstillinger - presentasjon og diskusjon - 2 Krav til kompetanse hos registrarer og mulige opplegg for å opparbeide denne - Hva behøver en registrar å vite? - Hvordan finner han ut det han trenger å vite? - Kan dot-enno hjelpe til, og hvordan? - Bør Norid hjelpe til, og hvordan? Slide 8

9 Problemstillinger - presentasjon og diskusjon - 3 Konkrete endringer i EPP-grensesnittet - Hvilke DNSSEC utvidelser skal vi ta i bruk? - Hvordan skal registrarbytte (transferprosedyren) være? Slide 9

10 Problemstillinger - presentasjon og diskusjon - 4 Rolleavklaringer for registrarer, DNS-tilbydere, registry og registranter, hvordan oppdatere nøkler i registry? - Kun via registrar og EPP-kanal - Abonnent/DNS-operatør kan gjøre det direkte mot registry via en ny tjeneste? Slide 10

11 Problemstillinger - presentasjon og diskusjon - 5 Problemstillinger ved skifte av DNS-operatør - Skifte behøver ikke, men kan innebære registrarbytte. - Nøkles må kunne utveksles, men hvordan er ikke standardisert per i dag. En draft foreligger dog som skisserer en ny EPPutvidelse for sikker oversending av ny nøkkel (DNSKEY) fra ny til gammel operatør, via registrarens EPP-system. Draften foreslår at registry kan tilby en sikker 'dropbox' for utveksling av ny nøkkel fra ny til gammel operatør. - Bør Norid vurdere en slik tjeneste? Slide 11

12 Problemstillinger - presentasjon og diskusjon - 6 Hvilke hjelpe-verktøy og/eller -tjenester bør Norid tilby - Endringer i eksisterende: EPP-tjenesten EPP-klient Registrarweb - nytt flagg 'DNSSEC-capable' i kontosetting - dumper utvides med DNSSEC info Whois vise DNSSEC status, evt. mer detaljinfo Registrarlister på web vise de som støtter DNSSEC DNS-checker støtte DNSSEC Vi vil utarbeide en del overordnet informasjon om DNSSEC på web - Er det behov for nye tjenester utover disse? Slide 12

13 Problemstillinger - presentasjon og diskusjon 7 Hjelpe til med å få slått på validering hos resolveroperatører. - ISPer og andre som driver resolverende navnetjenere må skru på validering i sin konfigurasjon. - Kan registrarene hjelpe til å etablere kontakt med disse og få dette til? Slide 13

14 Problemstillinger - presentasjon og diskusjon - 8 Utarbeide krav og/eller anbefalinger for DNSSEC som passer for registrarer - Programvare - Rutiner/roller - HSM (Hardware Storage Module) eller ikke? Slide 14

15 Problemstillinger - presentasjon og diskusjon - 9 Opplegg for utrulling av og blæsting om DNSSEC for.no - Norid snakker med PT og myndigheter og forsøker å få dem til å legge føringer for ISPer og evt. det offentlige. - Hva behøves mot markedet ellers, kan registrarene bidra eller ha forslag? Slide 15

16 Oppsummering, og hvem gjør hva videre? Oppsummering av dagen, hvor langt kom vi? Oppgaver videre: - Norid: Referat lages og sendes ut på e-postlista. Dagens diskusjoner tas med som underlag i videre beslutninger Tekniske dokumenter oppdateres når ting er bestemt: EPP-grensesnittdokumentet og et nytt DPS (DNSSEC Policy & Practice Statement), og sendes til kommentering Relevant informasjon legges også på web etterhvert slik at alle registrarer kan følge med. Oppretter ny prosjektdel på Norid-web, hvor dette arbeidet og annet om DNSSEC får sin plass. - Registrarer og/eller dot-enno? Ber dere om å svare på henvendelser fra Norid ved videre spørsmål, behov for dokumentreview etc. Kan dot-enno ta på seg spesielle oppgaver: - Kompetanseheving, kan dot-enno koordinere opplæring av registrarkorpset, Norid kan evt. assistere noe? - Koordinering på anbefaling av verktøy? - Markedsføring? Diskutere gjerne problemstillingene videre, gjerne på e-postlista dnssec@lists.norid.no Slide 16

17 Takk for oppmøtet og alle innspill Slide 17