DNSSEC hos.se. Anne-Marie Eklund Löwinder

Storlek: px

Starta visningen från sidan:

Download "DNSSEC hos.se. Anne-Marie Eklund Löwinder Säkerhetschef,.SE amel@iis.se @amelsec https://www.iis.se"

Jan Åkesson
för 8 år sedan
Visningar:

1 DNSSEC hos.se Anne-Marie Eklund Löwinder

2 .SE först i världen.se signerade zonfilen Friendly users 2006 och full drift ICANN/IANA signerade roten av 316 zoner i roten signerade. 94 av 102 har publicerat DS-poster i rotzonen. Många använder A Framework for DNSSEC Policies and DNSSEC Practice Statements draft-ietf-dnsop-dnssec-dps-framework-10

3 102 klara men 199 återstår!.arpa.ac.ag.am.asia.at.be.bg.biz.br.bz.ca.cat.cc.ch.cl.co.com.cr.cz.de.dk.edu.eu.fi.fo.fr.gi.gl.gn.gov.gr.hn.in.info.io.jp.kg.kr.la.lb.lc.li.lk.lr.lu.lv.me.mil.mm.museum.mx.my.na.nc.net.nl.nu.nz.org.pl.pm.post.pr.pt.re.sc.se.sh.si.su.sx.tf.th.tm.tt.tw.tz.ua.ug.uk.us.vc.wf.yt.[idn*17]

kr.la.lb.lc.li.lk.lr.lu.lv.me.mil.mm.museum.mx.my.na.nc.net.nl.nu.nz.org.pl.

4 Signerade i.se

5 DNSSEC i.se Signerade domäner: Dec ,066 Dec 20104,299 Dec ,041 Sep ,129 Dec ,000 (mål) Sep av 147.SE Registrarer kan lägga till och uppdatera DS-poster (kunna ta bort är obligatoriskt).

2011 166,041 Sep 2012141,129 Dec 2012 350,000 (mål) Sep

6 Varför införde vi DNSSEC? För att öka dataintegriteten i DNS. För att förbättra säkerheten för domäninnehavare i.se och användare på Internet. För att ansvariga myndigheter förespråkade det (Post- och Telestyrelsen). För att kunna ha större förtroende för kritiska tjänster. För att en utvidgad användning av DNSSEC för säker distribution av attribut från andra säkerhetsprotokoll och lösningar.

För att ansvariga myndigheter förespråkade det (Post- och Telestyrelsen).

7 .SE:s distributionskanaler Ändrad affärsmodell 2009; startade.se direkt; nya internationella registrarer tillkom. Totalt 150 registrarer. Topp-10 registrarer registrerar procent av alla domännamn. Webbhotell dominerar marknaden. Domännamn betraktas som något som följer med paketet och som en lockvara. De flesta registrarer är små företag på en relativt ung marknad.

Topp-10 registrarer registrerar 70-80 procent av alla domännamn.

8 Vad fungerade inte? , Strategi: Få domäninnehavare och slutanvändare att förstå värdet (skapa en efterfrågan). Tilläggstjänst till traditionell DNS. Rädda alla, utbilda alla Fokus på domäninnehavare och vissa kritiska målgrupper.

9 Vad fungerade? 2011 Förändrad strategi: omfattande uppgradering av vår infrastruktur. Hur: Registrarer vill tjäna pengar. Se till att skapa en affär för registrarerna!.se är en knutpunkt för det lokala Internetsamfundet (DNS-referensgruppen, nära kontakt med ISP:er och registrarer). Tillgång till backend-provider och verktyg (Atomia/PowerDNS) Stöd (pengar) från svenska myndigheter.

.se är en knutpunkt för det lokala Internetsamfundet (DNS-referensgruppen, nära kontakt med

10 .SE jobbar för en positiv utveckling av Internet i Sverige Vår expertis, statens pengar. Åtgärder för höjning av krisberedskapen. Drygt 200 kommuner (av 290) har sökt medel för att införa DNSSEC

Drygt 200 kommuner (av 290) har sökt medel för att införa DNSSEC.

11 Vem ska validera DNSsec? Det vanligaste idag är att det är Internetleverantörens DNSresolver som validerar. Eller ingen. DNS-resolver Bildcredd: Mats Dufberg

12 Signera och validera Signera DNS-data Krypto Utan signering ingen DNSsec Jämför datat med signaturen. Stämmer signaturen med datat? Utan validering är DNSsec värdelöst! Bildcredd: Mats Dufberg

13 Vad gör DNS-resolvern?.SE.COM.FI.INFO.DK.NET DNS-resolvern kontrollerar DNS-datat innan den skickar svaret till användaren inget svar om det inte går att validera. DNS-resolver med DNSsec

skickar svaret till användaren inget svar om det inte

14 Varför validera DNSsec redan nu? Utnyttja de säkerhetsmekanismer som finns. Främja utvecklingen av DNSSSEC. Skaffa erfarenhet och lära sig. Främja tillväxten av DNSSEC. 14

15 Men. Det har inte varit problemfritt. Vissa fel i DNS syns bara i DNSSEC och bara när man validerar. Det har varit flera fel i DNS-programvaror som bara gällt DNSSEC lett till störningar. Programvaran måste uppdateras oftare. Svårare att felsöka DNS med DNSSEC. DNSSEC kräver nya saker att hålla reda på. I vissa fall har olika DNS-programvaror inte

Det har varit flera fel i DNS-programvaror som bara gällt DNSSEC lett till störningar.

16 Framgångsfaktorer DNS-referensgruppen och nära kontakter med ISP:er och registrarer. Alla känner alla. Stöd från den politiska ledningen. Alla är beredda att hjälpa till, även om de i någon mån är konkurrenter.

Stöd från den politiska ledningen. http://www.regeringen.

17 Dyrt? Nej. Det finns fria programvaror för signering. Uppgradering måste ändå göras ibland. Det finns välspridda DNS-programvaror som stödjer validering. Det krävs obetydligt mera hårdvara. Det kräver inte så mycket extra skötsel.

18 Svårt? Nja. Det är inte svårt att börja signera. Det krävs lite ordning och reda. Det är inte svårt att börja validera men det krävs mera kunskap för att förstå. Det krävs förståelse för att kunna felsöka. Det krävs förståelse för att kunna förklara varför fel inte alltid är fel i DNS-resolvern.

Det är inte svårt att börja validera men det krävs mera kunskap för att

19 Vad har vi lärt oss? Att röra om i myrstacken avslöjar svagheter och brister vi hittade buggar i PowerDNS, Unbound och Bind. Morötterna måste vara tämligen saftiga för att attrahera registrarerna. Det behövs mer arbete för att övertyga fler registrerer, bara ett fåtal av.se:s registrarer har signerat sina egna och kundernas zoner.

20 Framtida utveckling Vi fortsätter med finansiellt stöd till registrarerna. Vi fortsätter med stöd i form av utbildning och teknik. Vi samarbetar med myndigheterna och regeringen. Vi förväntar oss att 50 procent av zonfilen är signerad inom två år. Tänkbar prisstruktur: Det blir dyrare med osignerade domäner än med signerade.

Vi samarbetar med myndigheterna och regeringen.

21 Slutligen DNSSEC är en nödvändighet för att kunna höja säkerheten i DNS. Vi måste gå igenom denna övergångsfas där nyttan av DNSSEC uppfattas som begränsad men där vi ändå inte slipper undan problemen. Vårt arbete med DNSSEC har givit oss erfarenhet både internt och åt andra som arbetar med DNSSEC, både utvecklare, registryer, registrarer och ISP:er. Utan signering i stor skala vill ingen validera.

22 Tack för

Relevanta dokument

Det nya Internet DNSSEC

Det nya Internet DNSSEC Anne-Marie Eklund Löwinder kvalitets-och säkerhetschef.se (Stiftelsen för Internetinfrastruktur) amel@iis.se http://www.iis.se Min agenda Kort om.se Vad är DNS? Vad är DNSSEC och