DNSSEC -- Und es bewegt sich doch! Erfahrungen aus dem Testbed (und darüber hinaus) Peter Koch

Transkript

1 DNSSEC -- Und es bewegt sich doch! Erfahrungen aus dem Testbed (und darüber hinaus) Peter Koch 17. Februar 2011 Domain Pulse, Wien

2 Seite 2 DNSSEC-Testbed für DE

3 Testbed-Chronologie Seite 3

4 Testbed - Schematische Darstellung Seite 4

5 Quellen Testbed Dezember 2010/Januar 2011 Seite 5

6 Testbed-Querys Dezember 2010/Januar 2011 Seite 6

7 Testbed-Rahmen DNSSEC-Signierstationen in FRA und AMS ZSK in HSM Sun SCA6000 KSK-Station in der Geschäftsstelle Separate Nameserver-Cluster in FRA und AMS Gleiche Architektur wie DE-Produktion Resolver/Validator-Teilnahme (seit ) Registrierung von Schlüsselmaterial (seit ) durch die Produktionsschnittstelle RRI/MRI Seite 7

8 Entwicklung DNSKEY unter DE (01/2011) Seite 8

9 RegAccs mit DNSSEC-Kunden im Testbed Domains im DNSSEC-Testbed Seite 9 A B C D E F G H I J K L M

10 RegAccs mit DNSSEC-Interessenten aktuell Domains mit DNSKEY-RR Seite 10 A B C D E F G H I J K L M N O P Q R S T U V W X Y Z AA AB AC AD AE AF AG AH AI AJ AK AL AM AN AO AP AQ AR

11 Testbed-Status Testbed endete offiziell zum Infrastruktur wird weiter betrieben noch 110 Domains im Testbed 13 RegAccs ca. 120 q/s im Tagesmittel davon 20-30% via IPv6 231 Abonnenten auf der Testbedliste Zonenaktualisierung zwölf Mal täglich (entspricht Produktion) Seite 11

12 Seite 12 Ergebnisse und Beobachtungen

13 Anzahl NSEC3/RRSIG-RRs ( ) Seite 13

14 Wachstum -- Antwortgrößen DNS Referral DNS NXDOMAIN DNSSEC S Referral DNSSEC IS Ref DNSSEC NXDOMAIN Seite 14

15 Ergebnisse Anpassung des Registrierungssystems und der damit verbundenen Auskunftssysteme DNSKEY-RR als Registrierungsobjekt Technische Prüfungen DENIC-12p, DENIC-23p Signierung Auswahl und Implementierung eines HSM-basierten Signierungssystems mit rollenbasiertem Zugriff (Schlüsselverwaltung) Verfahren zum Operatorwechsel unter DNSSEC Sponsoring einer Erweiterung für BIND9 Seite 15

16 NAST-Webclient Seite 16

17 Visualisierung der Validierung Seite 17

18 Fazit Technik beherrschbar Tücken im Detail: PKCS#11, Umgang mit HSM, NSEC3 erfüllt Erwartungen Werkzeuge/Dienstleistungen werden vermehrt angeboten business case? Prozesse sind der kritische Part das wußten wir vorher z.b. Zonenrollback Seite 18

19 Wie geht es weiter? Am 30. Mai ist der Weltuntergang! Karl Erpel, Bert Roda (1954) Seite 19

20 Wie geht es weiter? Offizielle Einführung zum 31. Mai 2011 Voll signierte DE-Zone in Produktion zzgl. IANA/ICANN-Laufzeit für den DS-RR in der Rootzone Achtung: BIND-Bug! Kein DLV (DNSSEC Lookaside Validation), kein ITAR 15 Wochen Vorlauf für DENIC und Mitglieder Planungsstand: langsames Einphasen DUDEZ Technische Parameter unverändert Seite 20

21 Wie geht es weiter? Testbed läuft zunächst parallel weiter Ausstieg wird vorab kommuniziert Bitte so lange weiter testen! Stabilität der Schnittstellen MRI/RRI Whois Daten werden nicht am Mitglied/Registrar vorbei geändert d.h.: Domains werden aus dem Testbed übernommen Seite 21

22 Wie geht es weiter? DNSSEC ist optional! auch Übernahme signierter Domains möglich (ggf. ohne DNSSEC) nsentry -Domains sind automatisch von DNSSEC erfaßt autoritative Daten direkt in der DE-Zone Domains signiert! Seite 22

23 Seite 23 DNSSEC global

24 DNSSEC-Status: Welt Seite 24

25 DNSSEC-Status: Westeuropa Seite 25

26 DNSSEC-Status: DE und Nachbarn Seite 26

27 DNSSEC-Status: Welt in Zahlen (und Buchstaben) 62 von 306 TLDs signiert und DS-RR in der Rootzone fünf weitere sind signiert Spitzenreiter: Afilias: AG, ASIA, BZ, GI, HN, IN, INFO, LC, ME, MN, ORG, SC AFNIC: FR, PM, RE, TF, WF, YT gtlds ASIA, BIZ, CAT, EDU, GOV, INFO, MUSEUM, NET, ORG COM ab Ende Februar ARPA E164.ARPA AM, CZ, LT, NL, PT Seite 27

28 DNSSEC-TODO-Liste Software-Stabilität Diverse oops und aha abgelaufene Signaturen selbständige Nameserver Redundanzmechanismen Software-Diversität PowerDNS, andere wichtig für große DNS-Operator Seite 28

29 DNSSEC-TODO-Liste (ii) Registrare / Reseller / Kundenschnittstelle DNS based Global Server Load Balancing (GSLB) z.b. Akamai, machbar, aber aufwendig (kombinatorisch oder on the fly ) kritisch für die andere letzte Meile Anwendung jenseits des Web Zertifikate, Ablösung von X.509 aber: Semantik der DNSSEC-Signaturen gibt das nicht her Seite 29

30 Vielen Dank! < Seite 30