iis.se Internets nyckelpiga - Eller dnssec i internets rotzon Anne-Marie Eklund Löwinder, CISO amel@iis.se I @amelsec
Vem är jag? Anne-Marie Eklund Löwinder Chief Information Security Officer, IIS amel@iis.se @amelsec Invald i Internet Hall of Fame Ledamot Kungliga Svenska Ingenjörsvetenskapsakademien (IVA), Avdelning XII, Informationsteknik Styrelseledamot institutet för rättsinformatik, IRI, Stockholms universitet Medlem i MSB:s informationssäkerhetsråd
Kort om Internetstiftelsen i Sverige (IIS) Oberoende allmännyttig stiftelse med två huvudsakliga verksamhetsområden: Ansvar för drift och administration av toppdomänerna.se och.nu Främja utveckling och användning av internet i Sverige Som till exempel: Federationsoperatör för Skolfederation och Sambi Testorganisation för nya gtld:er på internet Bredbandskollen, Webbstjärnan, Internetdagarna, Internetmuseum, Internetstatistik, Internetguider med mera.
We live on trust; we are the trustees for the delegated domain, and have the duty to serve the community. (RFC 1591)
Nya RFC:er publiceras (2005): RFC4033, RFC4034, RFC4035 EMILEGRAPHICS, FLICKR CREATIVE COMMONS
2005 Sverige (.se) inför DNSSEC som den första toppdomänen i världen
Karola Riegler, Flickr CC-BY-ND via Wylio
Key Ceremony # 1
2010 Juni Första nyckelceremonin i Culpeper, Virginia Juli Ceremoni #2 i Los Angeles, Kalifornien Nyckelmaterial från ceremony #1 kopieras och lagras Q4/2010 KSR hanterad Den signerade rotzonen publicerades i DNS av VeriSign Tillitsankare för rotzonen publiceras av IANA
Första Root DNSSEC Design Team Joe Abley Mehmet Akcin David Blacka David Conrad Richard Lamb Matt Larson Fredrik Ljunggren Dave Knight Tomofumi Okubo Jakob Schlyter Duane Wessels
Hantering av DNSSEC i rotzonen ICANN (IANA sköter operativ drift) Kontrollerar nyckelsigneringsnyckeln (KSK), samma nyckel sedan starten 2010 KSK signerar varje kvartal zonsigneringsnyckel i en nyckelceremoni Verifierar och genomför ändringsärenden Verisign (distribuerar den signerade rotzonen) Hanterar zonsigneringsnyckeln som byts ut varje kvartal Skedde tidigare i enlighet med överenskommelse med US Department of Commerce NTIA, nu är det helt på ICANN:s ansvar
Nyckelgenerering och signeringsprocess av KSK för rotzonen De vägledande principerna bakom den övergripande designen är att resultatet måste vara trovärdigt och pålitligt vid varje tidpunkt
Revision och uppföljning Processer och rutiner ska revideras mot standarder som till exempel ISO/IEC 27002:2013, Information technology -- Security techniques -- Code of practice for information security controls
Hög säkerhetsnivå Systemen för rotzonen ska möta alla relevanta tekniska säkerhetskontroller enligt NIST SP 800-53 som krävs för HIGH IMPACT system
Engagemang från internetkollektivet Trovärdiga representanter från internetsamfundet har bjudits in och har en aktiv roll i nyckelhanteringsprocessen
iis.se
iis.se
Ansats för att skydda KSK
El Segundo, Los Angeles, CA iis.se
Terramark Data Center, Culpeper, VA
iis.se
Fysisk säkerhet
Fysiska säkerhetskontroller Två i förening Separation av arbetsuppgifter Extern övervakning Kameraövervakning Rörelse-, seismiska och andra sensorer och mycket mer
iis.se
iis.se
iis.se
iis.se
iis.se
iis.se
iis.se
iis.se
iis.se
iis.se
iis.se
iis.se
ICANN-roller vid KSK-ceremonierna Ceremonimästare (CA) är den ICANN-medarbetare som leder ceremonin via skriptet Interna vittnen (IW) är ICANN-medarbetare som observerar och spelar in ceremonin och eventuella avvikelser Systemadministratör (SA) är teknikmedarbetare som ansvarar för IT-miljön Kassaskåpskontrollanter (Safe Security Controllers (SSC)) är medarbetare som hanterar kassaskåpen (öppnar och stänger)
DPS DNSSEC Säkerhetsdeklaration Beskriver processer och rutiner som har införts för signering respektive distribution av zonfilen generera, hantera, byta och distribuera DNS-nycklar i enlighet med fastställda krav Jämförbart med certificate practice statement (CPS) från en utfärdare (certification authority (CA)) av X.509-certifikat Följer strukturen i RFC 6841 https://tools.ietf.org/html/rfc6841
Spårbarhet och transparens Tredjepartsrevisorer granskar att ICANN agerar i enlighet med DPS Andra externa vittnen har också möjlighet att delta vid nyckelceremonierna En Systrust-granskning och -certifiering genomförs varje år sedan 2010 ICANN is committed to ensuring the security and stability of the Internet's unique identifier systems. As the DNSSEC Root Zone Key Signing Key (RZ KSK) manager, we are pleased to announce that ICANN's RZ KSK System has achieved SysTrust certification an audit by the international accounting firm, PricewaterhouseCoopers, LLP (PwC) to ensure we have appropriate internal controls in place to meet the availability, processing integrity and security objectives for our RZ KSK System.
Trusted Community Representatives (TCR) Aktiva roller i hanteringen av nyckelsigneringsnyckeln (KSK): Crypto Officers vars uppgift är att aktivera KSK Recovery Key Share Holders vars uppgift är att skydda delar av den symmetriska nyckel som använts för att kryptera en säkerhetskopia av KSK
Crypto Officer (CO) Har fysiska nycklar till säkerhetsboxar som innehåller smarta kort som används för att aktivera HSM ICANN kan inte generera en ny KSK eller signera ZSK:er utan närvaro från 3 av 7 CO Måste kunna resa till USA två gånger per år (per sajt)
Recovery Key Share Holder (RKSH) Har smarta kort som innehåller delar (M-of-N) av den nyckel som används för att kryptera KSK:n som lagras i HSM. 5 av 7 RKSH-kort tillsammans med ett smart kort med den krypterade KSK:n kan rekonstruera KSK:n i en ny HSM Det smarta kortet med den krypterade säkerhetskopian av KSK hanteras av ICANN. Måste kunna resa med kort framförhållning. Förhoppningsvis aldrig. Årlig inventering.
Community Representatives CO Alain Aina, BJ Nicolas Antoniello, UY Fabian Arbogast, TZ Anne-Marie Eklund Löwinder, SE Christopher Griffiths, US Frederico Neves, BR Gaurab Upadhaya, NP Olaf Kolkman, NL Robert Seastrom, US Vinton Cerf, US Andy Linton, NZ Carlos Martinez, UY Dmitry Burkov, RU Edward Lewis, US João Luis Silva Damas, PT Masato Minda, JP Ólafur Guðmundsson, IS Subramanian Moonesamy, MU CO Backup Christopher Griffiths, US Fabian Arbogast, TZ John Curran, US Nicolas Antoniello, UY Rudolph Daniel, UK Sarmad Hussain, PK Ólafur Guðmundsson, IS RKSH Bevil Wooding, TT Dan Kaminsky, US Jiankang Yao, CN Moussa Guebre, BF Norm Ritchie, CA Ondřej Surý, CZ Paul Kane, UK (5 BKP)
iis.se
Jag har INTE nyckeln till Internet!
Typer av nyckelceremonier Nyckelgenerering Generering av ny KSK Hantering av begäran om signering av ZSK (ZSK Signing Request (KSR)) Signering av ZSK för nästa kvartal Sker kvartalsvis Ömsom på västkusten, ömsom på östkusten
Tillitsankare för rotzonen Publiceras av ICANN på en webbplats som: XML-kodad och textformaterad DS-post För att underlätta automatisk hantering Signeringsbegäran av PKCS #10-certifikat (CSR) Som självsignerad publik nyckel
DNSSEC är idag en standardprocess
Nya aktiviteter ZSK ökade i storlek (1 oktober 2016) Planerades för att ske före Byte av KSK (nyckelrullning) Separata med ändå koordinerade aktiviteter iis.se
Viktiga datum! Nyckelceremonier Q4 2016 (oktober): generera ny KSK Q1 2017 (februari): KSK operationellt färdig Ändringar i DNS Ny KSK i rotzonen juli 2017 Ny KSK signerar DKSKEY RRset med början oktober 2017 Nuvarande KSK revokeras januari 2018 iis.se
Ceremoni # XXVII En ny KSK genererades vid den ceremonin baserad på ICANNs noggranna planering Ceremonidatum: 27 oktober 2016 Plats: ICANN Key Management Facility in Culpeper, VA, USA Alla detaljer om ceremonin och videoinspelning finns tillgänglig på https://www.iana.org/dnssec/ceremonies/27
Det går åt tonvis med pop corn.! https://www.iana.org/dnssec/ceremonies
iis.se
Varför byter man KSK i rotzonen? Primärt: beredskap och övning KSK har inget bäst före-datum Inga kända svagheter Ingen nyckel ska leva för evigt: det är dålig krypteringspraxis Fördel att öva processer och rutiner för nyckelrullning under normala och kontrollerade förhållanden Till skillnad mot onormala förhållanden, som när en nyckel röjts Stor utmaning Involverar oräkneliga deltagare Ingen testmiljö kan täcka alla möjliga fall iis.se
Byte av tillitsankare Tillitsankare konfigureras in direkt i validerare för DNSSEC OM automatiska uppdateringar av tillitsankare för DNSSEC (RFC 5011) är påslaget och fungerar så sker nyckelrullningen med automatik Annars krävs någon form av manuell hantering Lägg till den nya KSK:n före den 11 oktober 2017 (förutsatt att allt följer planen) Ta bort den gamla KSK:n vid ett senare tillfälle iis.se
Mer information om nyckelrullningen för rotzonen Mejllista: https://mm.icann.org/listinfo/ksk-rollover Följ ICANN på Twitter @ICANN Hashtag: #KeyRoll Webbplats: https://www.icann.org/kskroll iis.se
Användbara verktyg för DNSSEC Testa implementationen DNSSEC Analyzer från Verisign Labs DNSViz A DNS Visualization Tool från Sandia National Laboratories Använda DNSSEC i lokala system DNSSEC-Trigger lokal DNSSEC resolver för Windows, Mac OS X eller Linux DNSSEC Validator Add-on for Firefox DNSSEC Validator Extension for Google Chrome Verktyg för att sätta upp egna namnservrar OpenDNSSEC project DNSSEC-Tools project Verktyg för att testa DANE implementationer NIST s TLSA test tool DANE SMTP Validator iis.se
Kan jag kontrollera om en domän är signerad? Jajamensan! https://dnssec-name-and-shame.com/ http://zonemaster.se/
Aktuell statistik för toppdomäner med DNSSEC (2017-03-03, 16:20) Totalt 1 530 toppdomäner i rotzonen 1 385 TLD:er är signerade med DNSSEC 1 375 TLD:er har sina tillitsankare publicerade som DS-poster i rotzonen http://stats.research.icann.org/dns/tld_report/
Färsk statistik http://www.internetsociety.org/deploy360/dnssec/ iis.se
DNSSEC tillväxt i.se https://www.iis.se/domaner/statistik/tillvaxt/?chart=per-type iis.se
Andel resolvrar som validerar signaturer (per land) TLD Land Validerar DNSSEC Antal domäner SE Sweden, Northern Europe, Europe 82.97% 3 290 068 NO DK Norway, Northern Europe, Europe Denmark, Northern Europe, Europé 71,53% 1 455 481 53,48% 1 968 279 FI Finland, Northern Europe, Europé Källa: https://stats.labs.apnic.net/dnssec/xa 5,82% 922 177
Att införa DNSSEC har ett pris Det kan vara potentiellt dödligt för online-existensen om man gör fel Kräver mer uppmärksamhet och mer kunskap, framför allt för felsökning
iis.se
Kortsiktiga fördelar? Alltså som i JUST NU? I princip alla svenska internetoperatörer validerar dnssec-signaturer för sina kunder Om det hanteras korrekt skapar DNSSEC-signerade zoner högre säkerhet genom att förhindra mannen-imitten-attacker och cache-förgiftning
Långsiktiga fördelar Mer robust och mer pålitlig internetinfrastruktur Inga fler lögner i DNS Vi drar nytta av tillitstjänster som bygger på DNS Här hjälper DNSSEC. Nu när vi kan verifiera svar från en DNS-server kan vi också säkert lagra publika nycklar i DNSposter
iis.se
Och så några ord om lösenord. iis.se
Lösenordsparadoxen: Du vet att det är dåligt men du gör det i alla fall iis.se
Brukar du byta lösenord? iis.se
Vilka lösenord är vanligast? År password password 123456 123456 123456 123456 password password 12345678 12345678 12345 12345678 abc123 abc123 12345678 qwerty qwerty qwerty qwerty 12345 monkey monkey 123456789 123456789 letmein letmein 1234 football dragon dragon baseball 1234 111111 111111 dragon 1234567 baseball baseball football baseball
Dåliga lösenord Alldeles för många använder samma Det är enkelt att gissa för någon som känner dig Det är för kort och därmed enkelt att gå igenom alla kombinationer iis.se
Lösenord ska vara Unika per inloggning Långa (10 tkn eller fler) Komplexa Ovanliga (undvik de 1000 vanligaste) iis.se
Spara helst inte lösenord i webbläsare Använd en lösenordshanterare! iis.se
Är ditt lösenord röjt? iis.se
Tack så mycket! Frågestund? @amelsec amel@iis.se