DNSSEC-prosjektet Trond Haugen Prosjektleder DNSSEC

Transkript

1 DNSSEC-prosjektet Trond Haugen Prosjektleder DNSSEC

2 DNSSEC - prosjektet Prosjektet er delt inn i to hovedfaser: - Fase 1: Automatisert sonefilproduksjon - Forutsetning for DNSSEC - Planlagt senhøsten 2013, settes i drift desember 2013 DNSSEC-signering av Norids soner, dvs. '.no' og våre 790 underdomener - Utvikling er kommet langt, men enda et stykke å gå - Planlagt i drift mars Fase 2: DNSSEC-signering av delegeringer, dvs. registrerte domener. - Støtte for DNSSEC i registry og over EPP - Planlagt ferdig utviklet vinteren Planlagt i drift før sommeren 2014, men muligens over sommeren - Testsystemet skal ha DNSSEC tilgjengelig i løpet av januar 2014 Både tekniske og informasjonsmessige utfordringer, samt hvordan få abonnenter (registrarer) til å sikre sine domener Slide 2

3 Teknisk - endringer i registreringssystemet EPP-grensesnittet - Utvides med støtte for sec-dns-1.1 utvidelsen (RFC5910). - DS-poster skal sendes inn over EPP. Key-data er valgfri og kan sendes inn sammen med DS. - Policy-sjekker, gyldige algoritmer etc. Hovedregel: Aksepterer de 'vanlige', men ikke de sære. - EPP-klienten og registry støtter allerede deler av dette. Noen mangler finnes enda, bla. er registrar-transfer ikke på plass, samt noen policy-detaljer. - Når dette er på plass vil testsystemet for registrarer oppgraderes med disse funksjonene (januar) Registrarweb vil få parameter som styrer om en registrar støtter og får bruke DNSSEC - DNSSEC-kapable registrarer avmerkes spesielt i registrarlistene på Noridweb Whois-snittet vil vise DNSSEC-data for domener som er sikret Ny signeringsmaskin- og programvareløsning for signering skal inn - Skal plugges inn i vår nye produksjonskjede for sonefiler - VI bruker OpenDNSSEC pakken Et DPS (DNSSEC Policy and Practice Statement) dokument for no skal tas fram. - Anbefalt dokument (RFC6841). Inneholder bla. beskrivelse av registryets nøkkelvalg, algoritmevalg, prosedyrer for rullering av nøkler, litt om infrastruktur og hvordan man sikrer signeringskjede og nøkkelinformasjon. Slide 3

4 Informasjonsbehov Mot registrarene (viktigst og mest fokus) - Hva har andre registry gjort? NL, SE og AT spesielt studert. - Registrar arbeidsgruppe, siden i vår - konsultasjoner - Kurs (DNS avholdt, DNSSEC i morgen) - Økonomiske incitamenter får registrarene til å ta 'jobben' med å investere i DNSSEC (les: rabattordning) - Veiledninger og websider med informasjon Mot abonnenter - Litt informasjon på web - Ellers lar vi registrarene gjøre jobben Mot myndigheter - I den grad PT og myndigheter kan bidra med noe, f.eks. si at viktige offentlige domener bør sikres (altinn.no osv). Mot ISPer - De må å aktivere DNSSEC-validereing i navnetjenere Slide 4

5 Sonefilproduksjon - usignert Whois EPP Registry Sonefiler Publiseringsmaskin/ master NS DNS Programvarerelease i går (3/12). Automatisk produksjon av sonefiler tunes inn de neste dagene og aktiveres fom. tirsdag 10/12. Slide 5

6 Sonefilproduksjon - signert Whois EPP Registry Sonefiler Signeringsmaskin Signerte sonefiler Publiseringsmaskin/ master NS DNS Slide 6

7 Sniktitt - kjapp demonstrasjon av DNSSEC Logg på EPP-klient på testmaskin i Trondheim og demonstrer: - Sletting av alt av DNSSEC-data på et domene. Alle registrarer må minimum kunne gjøre dette for å få være registrar! - Oppdatere/endre, legge til DS og key, ta vekk DS og key Domene 'example.no' - DS-fil: 'dsset.example.no' example.no. IN DS D59FA4454D6F7D68B7D9DBAD CCFE0A2 example.no. IN DS D7016B9C6F2F35EFE7F1CD1FC046E863363C1C3CB8706D57491AD19E 5932CF83 example.no. IN DS C1EE5292D263C2797FD2722FDABA2F3234DDED36 example.no. IN DS B784E6638D3C832CACB1874FF35CD6BB9247FCEEBC658CA49708D469 1C54AD95 - Tilhørende key-filer: 'Kexample.no key' 'Kexample.no key' Slide 7

8 Skjermbilde Epp Client Slide 8

9 Takk for oppmerksomheten Prosjektinformasjon er publisert under Slide 9