Säkerhet. Beskrivning DNSSEC. Teknisk miljö på.se. Dokumentnummer: Senast sparat: 8 december 2008

Transkript

1 Dokumentnummer: Senast sparat: 8 december 2008 SE, Stiftelsen för Internetinfrastruktur 2007

2 Dokumentkontroll Dokumentinformation och säkerhet UPPFÖRD AV FAKTAANSVARIG DOKUMENTANSVARIG JAKOB AMEL AMEL SÄKERHETSKLASS ÖPPEN FILNAMN -TEKNISKMILJO-B.DOC Godkänd av DATUM NAMN FUNKTION AMEL PROJEKTLEDARE AMEL SÄKERHETSCHEF Revisioner DATUM VERSION NAMN BESKRIVNING PA1 AMEL BESKRIVNING AV -MILJÖN A AMEL FÄRDIGSTÄLLD PB1 AMEL REVIDERAD B AMEL FÄRDIGSTÄLLD OCH GODKÄND Dokumentnummer: Sida 2 av 9

3 Innehållsförteckning Innehållsförteckning Introduktion Detta dokument Förkortningar & ordförklaring Referenser Typsnitt Om.SE Policyramverk Nyckelgenerering Zonsignering... 7 Bilaga av hårdvara och mjukvara... 8 A: Hårdvara nyckelgenerering... 8 B: Programvara nyckelgenerering... 8 C: Hårdvara signeraren... 8 D: Programvara - signeraren... 9 Dokumentnummer: Sida 3 av 9

4 1 Introduktion 1.1 Detta dokument Dokumentet beskriver översiktligt miljön för på.se. 1.2 Förkortningar & ordförklaring DPS ISC KSK ZSK Policy and Practice Statement Internet Software Consortium Key Signing Key (nyckelsigneringsnyckel) Zone Signing Key (zonsigneringsnyckel) 1.3 Referenser 1.4 Typsnitt [1] IETF (Internet Engineering Task Force) RFC 4033, RFC 4034 och RFC 4035 [2].SE DPS I detta dokument används följande typsnitt: 1.5 Om.SE Liten fetstil Används för biblioteksstruktur, filnamn samt in- och utmatningar. STORA BOKSTÄVER Datornamn skrivs alltid med stora bokstäver. Stiftelsen för Internetinfrastruktur (.SE) ansvarar för Internets svenska toppdomän,.se. Kärnverksamheten är registrering av domännamn samt administration och teknisk drift av det nationella domännamnsregistret under.se..se är en oberoende allmännyttig organisation som verkar för en positiv utveckling av Internet i Sverige. Genom.SE:s Internetfond avsätter stiftelsen varje år medel till projekt som på olika sätt bidrar till Internets utveckling och användning. Se mer på Dokumentnummer: Sida 4 av 9

5 2 Policyramverk.SE:s Policy och Practice Statement (DPS) deklarerar.se:s rutiner och ansvar vid skapande och hantering av -nycklar för zonfilen för toppdomänen.se. Det berättar också hur.se verifierar kopplingen mellan en öppen nyckel och en fysisk eller juridisk person som har en domän registrerad i.se. DPS finns på svenska och engelska. Dokumentnummer: Sida 5 av 9

6 3 Nyckelgenerering Alla nycklar genereras på en fristående maskin som inte är ansluten till något nät. Nycklarna genereras med användning av standard Open SSL (för nyckelsigneringsnyckel, KSK) eller ISC BIND dnssec-keygen programmet (för zonsigneringsnyckel, ZSK) tillsammans med slumpdata från en slumptalsgenerator (Araneus Alea I). Nyckelsigneringsnyckeln (KSK) överförs till PKCS#15-kompatibla smarta kort (Axalto Cryptoflex) och raderas därefter från maskinen. Zonsigneringsnyckeln (ZSK) lagras på lokal hårddisk. Nyckelsignering med användning av smarta kort utförs med användning av pkcs15-dnssec-programmet. För att hålla en förteckning över nycklar och deras status, som tid för publicering, starttid, sluttid och borttagning, har ett enkelt verktyg (keytool.pl) utvecklats av.se. Aktiva nycklar signeras av alla aktuella nyckelsigneringsnycklar (KSK) och överförs tillsammans med den privata zonsigneringsnyckeln (ZSK) som behövs till signeraren med användning av ett flyttbart USB-minne. En komplett förteckning över hårdvara A och programvara B återfinns i en bilaga i slutet av dokumentet. Dokumentnummer: Sida 6 av 9

7 4 Zonsignering Processen med zonsignering är integrerad med den normala zongenereringsprocessen. En kort beskrivning av dataflödet vid zonsignering kan beskrivas med följande dataflöde: 1. Zonfilsgeneratorn frågar registry-databasen efter alla zonposter och genererar en zonfil. 2. Signeraren hämtar den nya zonfilen från zonfilsgeneratorn. 3. Signeraren signerar zonen med användning av befintlig on line zonsigneringsnyckel (ZSK). 4. Den signerade zonen kopieras tillbaka till zonfilsgeneratorn avsigneraren. 5. Zonfilsgeneratorn laddar den signerade zonfilen till en lokal namnserver som enbart används för distribution av den signerade zonen till de dolda primära namnservrarna. 6. De sekundära namnservrarna hämtar zonen från den ena av de två dolda primära namnservrarna. En komplett lista över hårdvara C och mjukvara D återfinns i bilaga i slutet av dokumentet. Dokumentnummer: Sida 7 av 9

8 Bilaga av hårdvara och mjukvara A: Hårdvara nyckelgenerering Hewlett Packard DL140 Intel Xeon 2.4 GHz, 512 MB RAM Axalto Cryptoflex Smartcard (FIPS Level 2 Certification) Axalto e-gate Desktop Connector (smartcard reader) Araneus Alea I True Random Number Generator B: Programvara nyckelgenerering Ubuntu Linux (i386) ISC BIND dnssec-keygen OpenSSL openssl genrsa OpenSC pkcs15-init & smart card libraries OpenCT smart card driver NIC-SE Tools pkcs15-dnssec NIC-SE Tools keytool C: Hårdvara signeraren Hewlett Packard DL385 Dual AMD64 Opteron 2.4 GHz, 2 GB RAM Dokumentnummer: Sida 8 av 9

9 D: Programvara - signeraren Ubuntu Linux (i386) ISC BIND dnssec-signzone & named-checkzone Tools mksigned Dokumentnummer: Sida 9 av 9