České vysoké učení technické v Praze FAKULTA INFORMAČNÍCH TECHNOLOGIÍ katedra počítačových systémů DNSSEC Jiří Smítka jiri.smitka@fit.cvut.cz 14.2.2011 1/18
Proč je potřeba zabezpečit DNS Nezabezpečený protokol Druhy útoků: Buffer overflow/stack smashing, etc. MitM Útočník v cizí síti Chyby v DNS serverech Málo náhodnosti 14.2.2011 2/18
Chyby v DNS serverech Kaspureff Přesměroval kořenovou zónu na svoje NS Zneužití sekce ADDITIONAL (Další záznamy) DNS server vše přebral do cache Byl odsouzen 14.2.2011 3/18
Málo náhodnosti Každý pake má: ID v hlavičce DNS zprávy Zdrojový port v IP hlavičce 14.2.2011 4/18
Hlavička DNS zprávy 14.2.2011 5/18
Kaminsky-style útok Útok na resolvery (rekurzivní DNS servery) Útok z libovolné sítě Nutná podmínka: Možnost falšovat IP adresy zdroje Neexistující Ingress filtry (BCP 38) Uvnitř stejné sítě (např. hosting u ISP) 14.2.2011 6/18
Lehký úvod do DNSSECu Přidává do DNS zóny podpisy Asymetrická kryptografie Nešifruje na drátě Nové DNS (RR) záznamy RRSIG podpis záznamů (stejný vlastník, typ, třída) Pozor na platnost podpisů DNSKEY veřejná část klíče NSEC/NSEC3 ověřený záznam o neexistenci DS bezpečná delegace v nadřazené (parent) zóně 14.2.2011 7/18
Lehký úvod do DNSSECu DNSKEY klíče Nemají platnost, možnost rozlousknutí Key Signing Key (KSK) Silnější (více bitů), více dat Podepisují se jím pouze ostatní klíče Určený pro bezpečnou delegaci v nadřazené zóně Zone Signing Key (ZSK) Slabší (méně bitů), méně dat Podepisují se jím všechny záznamy v zóně Možnost měnit bez zásahu do nadřazené zóny 14.2.2011 8/18
Centrální registr pro.cz FRED - Open Source EPP protokol (over TCP) Extensible Provisioning Protocol Založený na XML RFC standard Standardní schémata nevyhovující Převážně vlastní schémata (kromě základu) 14.2.2011 9/18
Rozšíření.CZ pro DNSSEC Nové schéma v EPP Definuje objekt KEYSET 1-n DNSKEY záznamů 1-n technických kontaktů m:n mapovaní k doménovým jménům Jeden klíč může být použitý u více domén Automatické generování DS záznamů z DNSKEY DS je hash z domény+klíče Vkládají držitelé domén přes registrátory 14.2.2011 10/18
Podepsání.CZ Generování podepsané zóny.cz Kontrola validity vygenerované zóny Kontrola počtu změn Podepsání zóny pomocí dnssec-signzone Kontrola validity podepsané zóny Publikování zóny 14.2.2011 11/18
Podepsání.CZ - HSM Hardware Security Module SCA6000 Levná PCI karta (1000 EUR) Původně pouze binární ovladače pro Solaris a RHEL4 signzone je na Solarisu skoro řádově pomalejší :-( Nyní ovladače i pro Debian/Ubuntu, připravujeme nasazení 14.2.2011 12/18
Podepsání.CZ - Zónové transfery DNS servery pro.cz 6 NS záznamů ~10 lokalit Praha, Vídeň, Stockholm, Kalifornie, Londýn, Chile, Frakfurt,... ~26 fyzických serverů Každý lokalita 2 servery, (Praha 6 serverů) 14.2.2011 13/18
Podepsání.CZ - Zónové transfery Velikost zónového souboru: ~40MB před podepsáním ~240MB po podepsání Generování a podepsání zónového souboru: Každých 30 minut Každých 30 minut Přenos 20*240MB = ~4GB Tranzitní operátoři Kupte si více konektivity :) 14.2.2011 14/18
Podepsání.CZ - Zónové transfery AXFR vs. IXFR AXFR plný přenos zóny IXFR jen přenos rozdílů Pomůže IXFR? Podepsání každých 30 minut Nové RRSIG záznamy každých 30 minut Přenos rozdílů: smazat staré RRSIG vytvořit nové RRSIG Větší než AXFR! 14.2.2011 15/18
Podepsání.CZ - Zónové transfery Řešením je využít staré RRSIG Vlastní utility založené nad knihovnou ldns Postup: Vygenerovat novou zónu Vybrat všechny DNSSEC záznamy ze staré zóny Spojit dohromady Podepsat pomocí dnssec-signzone Využití stále platných podpisů Zahození již neplatných podpisů Jitter pro konec platnosti rozložení generování nových v čase Žádný problém s konektivitou :) 14.2.2011 16/18
DNSSEC v České republice Podporují jen někteří registrátoři Někteří registrátoři podepsali všechny své domény!!! WEB4U únor 2009 (15k+) ACTIVE 24 březen 2009 (100k+) Česká Republika je DNSSEC velmoc :-D 14.2.2011 17/18
Dotazy? 14.2.2011 18/18