Rapport Kalmar Län 2013 Interlan Gefle AB Filialkontor

Transkript

1 Kalmar Län 2013

2 Innehåll Förord...3 Före och efter...3 Vad är DNS och DNSSEC?...4 Att använda DNSSEC...4 Hindra attacker mot DNS-frågor...4 För välbesökta webb-platser...4 Fördjupande information...4 Projektresultat...5 Teknisk uppsättning...6 Teknik per kommun...6 Fortsatt förvaltning - stabilitet, övervakning, tester...7 Bibehålla stabiliteten...7 DP/DPS...8 DP DNSSEC Policy...8 DPS DNSSEC Policy statement...8

3 Förord Med Regionförbundet i Kalmar län som uppdragsgivare har Interlan drivit projekt för implementering av DNSSEC. Uppdraget har bestått i att utbilda, implementera och assistera till deltagande parter under införandet. Elva av länets tolv kommuner har varit deltagit i projektet. Alla deltagande kommuner har fått assistans i någon omfattning, förutom Mönsterås som skött sig själva. Vimmerby Kommun ingår i kommunalförbundet IT-sam och de har redan tidigare genomfört motsvarande aktivitet gemensamt inom förbundet. Före och efter Innan projektstart såg statusen på deltagande kommuners DNS:er inte så bra ut. Fyra av kommunerna hade en varning enligt DNSCHECK ( En kommun hade ett fel som kan innebära störningar när någon försöker nå den domänen. Utifrån en hemsida som kontrollerar och grafiskt redovisar status på DNS och DNSSEC hos kommuner ( så framgår förändringen grafiskt före och efter projektet enligt nedan. Före projektstart Efter projektavslut Tolv kommuner är numera gröna vilket innebär att de är utan varningar och fel och är signerade med DNSSEC!

4 Vad är DNS och DNSSEC? Något förenklat och kortfattat så gör DNSSEC så att den som besöker en webbplats, eller tar emot ett mejl, verkligen kan vara säker på att webbplatsen eller mejlet kommer från den påstådda avsändaren. En domän blir alltså betydligt säkrare och trovärdigare med DNSSEC. Att använda DNSSEC för sitt domännamn kan därmed ses som en service till de som besöker din sida och nyttjar den information och de tjänster som finns där. Att använda DNSSEC DNSSEC bygger på nycklar och här utökas ansvaret för innehavaren av ett domännamn genom att denna skall administrera, publicera och signera sina DNS-data med dessa DNSSECnycklar. Naturligtvis kan man även låta en teknisk leverantör sköta om detta. Det senare skall dock göras på ett kontrollerat sätt så att domänägaren vet och säkerställer hur nycklarna hanteras och var detta sker. Hindra attacker mot DNS-frågor Med DNSSEC blir det lättare för en Internetanvändare att fastställa att man verkligen kommunicerar med rätt information eller tjänst, snarare än med en bedragare. Därmed minskar risken för att bli lurad vid till exempel bankaffärer eller shopping på nätet. Det är i sammanhanget viktigt att poängtera att DNSSEC inte stoppar alla typer av bedrägerier. Det är endast konstruerat för att förhindra attacker där angriparen manipulerar svar på DNS-frågor för att uppnå sitt mål. För välbesökta webb-platser En målgrupp för DNSSEC är alla som driver välbesökta webbplatser och där det kan finnas ett kommersiellt eller ideologiskt intresse för en angripare att styra över besökarna till sin egen webbplats. För den kategorin av användare är DNSSEC en viktig pusselbit i arbetet med att erbjuda besökarna en trygg och säker internetmiljö. Fördjupande information Börja med att läsa för att få förståelse för vad och hur en DNS är och fungerar. De övriga punkterna ovan är till stor del hämtad från

5 Projektresultat Projektet inleddes med en inventering. Alla deltagande kommuners domäner och registrarer inventerades utifrån ett definierat frågeformulär i syfte att se svagheter och brister för nuvarande och framtida önskad teknisk status och leverans. Utifrån inventeringen har mindre åtgärder vidtagits innan projektet övergått i själva införandet. När projektet slutförts så använder alla deltagande kommuner en bra registrar. Med en bra registrar avses en registrar som har ett GUI för att aktivera DNSSEC. Alla utom två kommuner har också spridit sina DNS:er över flera Internetoperatörer. Denna åtgärd ökar redundans och säkerhet. Samtliga kommuner i länet är, i enlighet med vad som finns redovisats tidigare i rapporten, gröna och föredömligt signerade utan fel för DNSSEC. Åtta av kommunerna använder dessutom Interlans DNS-tjänst för kommuner som behöver IPv6 på någon, se Projektet får därmed anses genomfört och resultatet till fullo lyckat.

6 Teknisk uppsättning Av de 10 kommuner vi har haft insyn i och påverkan kring (Vimmerby och Mönsterås vet vi inget om annat än att de är gröna och klara) så använder alla den så kallade Hidden Master modellen. Hidden Master modellen är vedertagen och innebär att en DNS står gömd mot Internet och det är i den alla privata nycklar finns och det är även där som alla förändringar av domänerna sker. Från Hidden Master replikeras sedan alla förändringar till de synliga slavarna som är de DNS:er som är ansvariga för domänen ut mot Internet. hidden master ns.kommunen.se Synlig slav Extern{a} slavar Teknik per kommun En del kommuner valde Windows Server 2012 som teknisk plattform. Efter en del inkörningsproblem med buggar och brister i systemet så har även den plattformen blivit stabil. Att köra på denna plattform kräver dock att man sköter signeringen manuellt/schemalagt en gång per dag, tyvärr kan man inte förlita sig på Windows inbyggda hantering. Kör man däremot på Linux/BIND/ZKT så sköts det hela automatiskt av schemalagda jobb som ser till att omsignering sker enligt det intervall som respektive kommun själv väljer att använda sig av.

7 Fortsatt förvaltning - stabilitet, övervakning, tester När själva projektet nu slutförts och övergår i förvaltning av funktion så är det viktigaste att övervaka och se till att DNS:erna förblir stabila och att inget oförutsett inträffar med domänerna och DNSSEC. För Mörbylånga och Oskarshamn har det satts upp en egen övervakning för att se till att signeringen fungerar enligt tänkt förfarande. Även andra kommuner lär skall ha satt upp någon form av övervakning men i skrivande stund vet jag inte med närmare säkerhet vilka. Interlan har också på uppdrag av Regionförbundet i Kalmar satt upp övervakning och larmar till Borgholm, Nybro, Västervik om något inträffar. Den övervakningen tittar inte enbart på DNSSEC utan även på andra saker som kan inträffa och störa funktionen indirekt. De övriga nio kommunerna övervakas faktiskt också men de får inte egna larm skickade till sig. Under de sex månader som övervakningen nu skett så har inget större inträffat. Det har skett mindre saker som i det flesta fall rättat till sig själv med automatik. Bibehålla stabiliteten Vi har satt upp Linux/BIND/ZKT-system i sex år och utifrån den erfarenheten så vet vi att det är ett stabilt system. De större fel som inträffat på den plattformen har inte berott på DNSSEC utan på mänsklig faktor i form av inmatningsfel eller att kommunen delegerat sin domän fel hos sin registrar. Windows Server 2012 har vi inte lika mycket erfarenhet av och rekommendationen måste därför bli en starkare och frekventare övervakning. Oavsett plattform så är de viktigaste punkterna för stabiliteten följande: Se till att uppdatera operativsystemen, apt-get upgrade och Windows update Se till att ni vet vem och vilka som kan göra förändringar i DNS:en och att ni helst kan logga det till en extern loggserver där ingen kan ta bort och göra förändringar på loggarna Övervaka funktionaliteten Kör en dnscheck på då och då och se till att allt är grönt. Den programvaran går att hämta hem från och scripta och använda i sin egen övervakning Titta kontinuerligt även på och se att ni är grön Det är viktigt att kommunernas utpekade IT-tekniker bibehåller kompetensen nu när projektet är inne i skarp drift. Kompetensnivån bland kommunerna är mycket blandad och fortsatta gemensamma träffar där DNS diskuteras och erfarenheter delas är något att tänka på. Kanske även kompletterande utbildning.

8 DP/DPS DP DNSSEC Policy Denna del är i skrivande stund inte klar för granskning. DPS DNSSEC Policy statement En DPS som varje kommun ska fylla i och deklarera har skapats och kommunerna ska i den deklarera hur deras miljö förhåller sig till DPS:en. Förlagan för DPS:en är rapporten från Kirei Vägledning: DNSSEC för kommuner. I detta dokument så kommenterar vi inte denna rapport närmare. Den är skriven för tekniker som kan och vet hur DNS och DNSSEC ska sättas upp så den ger inte så mycket för en normal ITtekniker. Det skall dock sägas att nämnd rapport är ett bra underlag och en bra guide för den som kan men är lite osäker på vissa parametrar. DPS:en i sig är lite i samma stil och tar inte hänsyn till den blandade kompetens och personalnivå som Sveriges kommuner har. En del kommuner har mycket personal och moderna hjälpmedel och datahallar medan det hos andra kommuner ibland bara är enstaka personer som utgör IT-driften. En del av kraven i DPS:en kan även ligga ovanför ITavdelningens ansvarsområde och då i vissa fall innebära att det till exempel är kommunens säkerhetschef som ska ta besluten om de ska/kan följas eller inte.