Instantní úvod do DNSSEC (diskuse)

[Dragon Jake]

Tu poslední konfigurační direktivu:

dnssec-lookaside . trust-anchor dlv.isc.org.;

prozatím silně nedoporučuji - jinak řečeno, nebude fungovat skoro nic a log se bude plnit hláškama secure failure. Popravdě nevím, jestli pak DNSSEC funguje stále stejně bezpečně a dobře, ale alespoň kontrola na nic.cz ukazuje, že ano :)

[Dan Ohnesorg]

Tento radek s kontroly cz domeny v me konfiguraci vubec netyka, ta se validuje klicem vlozenym do toho souboru trusted.keys.

Pouzije se pro domeny, od kterych nemam jejich klic v konfiguraci, ale ktere DNSSEC pouzivaji a ulozili sve klice u ISC. Je to takove prechodne reseni do doby, nez bude podepsana  korenova domena  ".". Ten prikaz se muze opakovat nekolikrat a delegovat i jine domeny k validaci nekomu jinemu.

Uvidime za nejaky ten tyden, co vsechno se rozbilo a co ne.

 

[the.max]

skoda ze vyvojari okolo PowerDNS na implementaci DNSSEC kaslou, ale za bind prechazet nebudu. Zatim verim v lepsi zitrky a v to, ze se umoudri.

[Dan Ohnesorg]

Jeste je mozne pouzivat unbound.

Provoz jineho nameserveru nez bindu je chvalihodna cinnost, aby nelehl cely inet, az bude v bindu chybka.

 

[pht]

ale tam prece nikdy zadna chybka nebyla. :)

[rastos]

Mohol by mi, prosím, niekto vysvetliť,

• ako funguje ten test na https://www.nic.cz/dnssec/ ? Čo vlastne kontrolujú?
• aké kľúče potrebujem do /etc/bind/trusted.keys ak nie som v .cz, ale napr. .sk alebo .org ?
• prečo práve dlv.isc.org ?

[Dan Ohnesorg]

 

Mohol by mi, prosím, niekto vysvetliť,

• ako funguje ten test na https://www.nic.cz/dnssec/ ? Čo vlastne kontrolujú?
• aké kľúče potrebujem do /etc/bind/trusted.keys ak nie som v .cz, ale napr. .sk alebo .org ?
• prečo práve dlv.isc.org ?

 

1. Tak mohl, ale prijdete o vsechnu zabavu pri zkoumani, jak to funguje. Jde tam o to, ze stahuji kaskadni styly z domeny s neplatnym podpisem a kdyz domena neni dostupna, tak je klicek zeleny, jinak cerveny.
2. .org a .sk podpisy domen nepodporuji, takze tam muzete dat jen klic od DLV a validovat pres ne.
3. Protoze ISC ma nejvetsi pocet klicu a je to duveryhodna seriozni organizace. Samozrejme repozitar muze provozovat kdokoliv, klidne muzete mit vlastni.

[Milan Jurik]

Vyborny je dokument od Alana Clegga z ISC - "DNSSEC in 6 minutes", dostupna prezentace na webu.

 Zrovna sedim na skoleni od ISC a vyzvidal jsem, jak to delaji s public key v .se. Ihren rikal, ze uzivaji odborne tisky i klasicke noviny a on ho ma i na fakturach, ktere posila Proste na tolika mistech, aby podvrhuti klice bylo snadno odhalitelne pri porovnani s jinymi zdroji distribuce.

[petr_p]

Zkoušel jsem to na bindu 9.4.2p2 na Gentoo a chovalo se to divně. Cokoliv v cz. se úspěšně přeložilo (i při chybným podpisu), přestože u všeho nadával, že RRSIG není platný, naopak ostatní domény v nepodepsaných TLD vždy selhaly.

Dnes jsem to zkusil na bindu 9.5.0 v Debianu a tam vše funguje jak má.

[petr_p]

9.4.3 na Gentoo ten samý problém. Akorát koukám, že selhávají i domény 3. úrovně pod cz., které nejsou podepsané. Zkusil jsem přihodit dnssec-must-be-secure "." no;, jestli nejsou jinak nastavené výchozí hodnoty, ale ani to nepomohlo.

[petr_p]

Aktualizoval jsem na 9.5.0p2 a problém zůstává.

Ale našel jsem příčinu: Na tomto serveru všechny dotazy přeposílám na další rekurzivní server, který DNSSEC neřeší, takže můj server nedostane údaje potřebné k ověření, a tak si stěžuje.

Tohle je nedostatek bindu nebo vlastnost DNSSEC?

[Ondřej Surý]

To záleží na tom, co znamená "DNSSEC neřeší", jsou dvě varianty:

A) ignoruje flag +DNSSEC OK a nevrací RRSIGy

B) jen nedělá validaci

Zkuste:

# dig CH TXT version.bind.

A pokud je to bind < 9.4, tak napište adminovi, ať zapne alespoň podporu DNSSECu bez validace.

[petr_p]

Vzdálený server (bind 9.3.4-P1.1) nedělá ani jedno.

Mám tomu rozumět tak, že všechny rekurzivní servery po cestě musí podporovat rozšíření DNSSEC a vracet RRSIG automaticky a že koncový validující server nemá povinnost se na tyto záznamy dodatečně doptávat? (Protože když se digem zeptám na RRSIG, NSEC, DNSKEY, DS, tak jej vrátí.)

[Ondřej Surý]

Rozumíte tomu správně. Už teď je dost komplikovaná výměna klíčů kvůli různým časovým oknům, doptávání by to zkomplikovalo ještě mnohem více. Ale mělo by stačit:

a) přesvědčit admina, že 9.3 už není podporovaná verze bindu (podporují vždy aktuální a jednu verzi zpátky, tedy aktuálně 9.5 a 9.4) a ať upgradne (od 9.4 je dnssec standardně zapnutý)

b) přesvědčit admina, že dnssec-enable je neškodné (a pokud se nezapnou ty trust anchors, tak tomu tak je)

O.

P.S.: Aaaa, dá se někde vypnout ta javascriptová hrůza na editaci příspěvků?

[Milan Jurik]

Oficialni konec podpory od ISC je az v pondeli A to neznaci, ze jini jej nepodporuji nadale pro sve zakazniky (ne kazdy si dovoli hodit pres palubu jen par let stary software s sirokym nasazenim).

P.S.: Souhlas, desna vec.

[Filip Jirsák]

P.S.: Aaaa, dá se někde vypnout ta javascriptová hrůza na editaci příspěvků?

V nastavení (profilu) – tam co cookie, CSS, avataři atd. – lze wysiwyg editor vypnout.

[Ondřej Surý]

Už jsem to našel, ale díky za info.