DNS sicher, international Komplexität fatal?

Transkript

1 DNS sicher, international Komplexität fatal? Dipl.-Inform. Universität Bielefeld, Technische Fakultät ISOC.DE MV Frankfurt/Main, ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 1 von 41

2 Drei Neue Spielfelder Secure DNS Internationalisierung Unterstützung von IPv6 ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 2 von 41

3 The First Thing We Do... Markenproblematik ( IP -Probleme) Neue Topleveldomains ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 3 von 41

4 Was ist denn schon Domain-Grabbing verglichen mit der Etablierung einer neuen TLD? frei nach B. Brecht ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 4 von 41

5 1. Akt: Secure DNS ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 5 von 41

6 Die Mitspieler DNS: hierarchisch, verteilt, repliziert Domain vs. Zone Verschiedene Resource Record-Typen (A, SOA,... ) Resource Record vs. Resource Record Set (RRSet) Die Agenten: Server, Resolver (stub und full), Caches Weitgehend ausgereifte Technik ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 6 von 41

7 Gift für den Cache ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 10 ;; flags: qr aa rd ra; Ques: 1, Ans: 2, Auth: 1, Addit: 3 ;; QUESTIONS: ;; malicio.us, type = MX, class = IN ;; ANSWERS: malicio.us MX 100 mail.malicio.us. malicio.us MX ;; AUTHORITY RECORDS: malicio.us NS dns.malicio.us. ;; ADDITIONAL RECORDS: mail.malicio.us A A dns.malicio.us A ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 7 von 41

8 Anforderungen an ein sicheres DNS Quellenauthentisierung data origin authentication Datenintegrität In Ausnahmefällen: Authentisierung der Kommunikationspartner Keine Vertraulichkeit der Anfragen und Antworten ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 8 von 41

9 Secure DNS mit Public Key-Technologie DNS-Zonen sind die Datenquellen Schlüssel(paare) für diese Quellen (Zonen) Public Key Infrastructure im DNS selbst neue Resource Record-Typen (KEY, SIG, NXT) ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 9 von 41

10 SIG-RR bürgt IN A IN SIG A 1 ( ; A-RR, RSA/MD5 3 ; labels ; original TTL ; sig expiration ; sig inception ; key id ISOC.DE. ; signer s name mlpznsyr1synphblnhllczbhns6wdag1+x1w [...] fczakykhn0mvlzltw+0pdnvxdsibt4duhrdh X3by/78pZFXyZfqRtw== ) ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 10 von 41

11 Zertifizierungskette. privat öffentlich privat öffentlich DE ISOC privat öffentlich ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 11 von 41

12 ... mit Wurzelbehandlung privat öffentlich META. privat öffentlich privat öffentlich DE ISOC privat öffentlich ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 12 von 41

13 Arbeit für die Resolver Verifikation der SIGnaturen Ermittlung der Schlüssel Verfolgung der Delegations- und Zertifizierungskette Verifikation auch für additional data Last, Cache-Größe, Latenz ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 13 von 41

14 Von der Kunst, Nein zu sagen: NXT-RR Negative Antworten RRSet existiert nicht Domainname existiert nicht (NXDOMAIN) IN NXT ISOC.DE. A SIG NXT Ein NXT-RR pro Name (owner) in der Zone Begleitet von je einer SIGnatur ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 14 von 41

15 Zwischenbilanz Secure DNS ist seit einiger Zeit spezifiziert Architektur ist überschaubar Erste Produkte sind verfügbar (BIND 9.x) ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 15 von 41

16 OK, wo muß ich unterschreiben? Politische und administrative Probleme Protokollbezogene Unklarheiten Operationelle Herausforderungen ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 16 von 41

17 Spitzen-Probleme Zurückhaltung bei Änderungen an der Root-Zone Behandlung des Root- oder Meta-Root-Schlüssels Volumenprobleme einiger TLDs Policies der Registries Neue Monopole? Bedeutung der SIGnaturen ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 17 von 41

18 So viele Standards... DNSSEC offen hinsichtlich der kryptographischen Verfahren IETF: unencumbered technology Bislang: RFC 2535: DSA muß, RSA/MD5 soll Seit Mai 2001 (RFC 3001): RSA/SHA-1 muß, RSA/MD5 soll nicht Weitere Verfahren sind bzw. werden spezifiziert (ECC) ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 18 von 41

19 NXT, NO or neither? NXT-RRs und SIGnaturen vergrößern die Zone NXT ermöglicht Traversierung der Zone NO ist aufwendiger und bisher nicht implementiert Zwei Lösungen im Feld erhöhen die Komplexität zusätzlich Wird authentisiertes Dementi überhaupt benötigt? ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 19 von 41

20 Paketwachstum UDP-DNS-Paket trägt höchstens 512 Byte Nutzdaten Satz der Root-Nameserver in Zahl und Namen optimiert Kein Platz für SIG-RRs für. EDNS mit größeren UDP-Datenpaketen ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 20 von 41

21 Opt-In Verständnis alter Software für die neuen RR-Typen rein syntaktisch in ihrer Bedeutung in der Nachricht Probleme mit der Nachrichtengröße Entwurf: DNSSEC OK Bit im EDNS0-OPT-RR Problem: Zwischenstationen ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 21 von 41

22 Universität Bielefeld Schlüssel in Kinderhände? Wo SIG KEY speichern? Namensraum delegierte Zone Problem mit Key-Rollover Entwurf: SIGnatur in der delegierenden Zone Registry-Policies, Lebensdauern Kein NULL-Key ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 22 von 41

23 Beteiligte Organisationen RSSAC ICANN CENTR RIPE, RIPE NCC Registries: SE, NL, DE,... Neue gtlds? IETF dnsext, dnsop ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 23 von 41

24 Kleines Finale Secure DNS ist ein Lösungsansatz für ein ernstes Problem Implementierungen sind verfügbar Leider noch kaum praktische Erfahrungen Henne und Ei-Problem Secure DNS erhöht die Komplexität für die Infrastruktur für die Zonenverwalter für die Registries Produktionsreife nicht vor 2002 Überarbeitung der Spezifikation ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 24 von 41

25 2. Akt: Internationalisierung ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 25 von 41

26 Das (vermeintliche) Problem ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 26 von 41

27 Einfache Lösungen DNS per se ist 8 bit clean just send ISO Andere Zeichensätze? Wörterbuch.DE.NU, Bjørn.DK.NU Skalierbarkeit? Unicode, ISO 10646, UTF-8 Aber: Restriktionen für Hostnamen: RFC 952, RFC 1123 Außerdem: Groß- und Kleinschreibung? ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 27 von 41

28 Ausgefeiltere Lösungen: IDNA Keine Änderungen an der DNS-Infrastruktur! Änderung der Applikationen Vorbereitung: stringprep (nameprep) Codierung im erlaubten Zeichensatz: ACE ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 28 von 41

29 ASCII Compatible Encoding Abbildung: Unicode { A - Z, 0-9, - } Rückwärtskompatibilität Umkehreindeutigkeit Präfix zur Unterscheidung Länge der DNS-Labels beschränkt (63) Kompression insbesondere nicht-lateinischer Schriften AMC-ACE-Z: Wörterbücher Wrterbcher-ecb1f ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 29 von 41

30 Was heißt hier äquivalent? Bjørn vs. Björn theatre vs. theater oertlich vs. örtlich ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 30 von 41

31 Nicht alles ist lösbar MOCKBA.PECTOPAH.COM ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 31 von 41

32 Was man eigentlich will... Schlagwortregister redaktionell bearbeitet (marken-)rechtlich faßbar skalierbar ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 32 von 41

33 Noch ein kleines Finale Internationalisierte Namen sind erwünscht... nicht notwendig im DNS IETF IDN WG strauchelt Alternative Ansätze in der Diskussion (DNS-Klasse,... ) Stillhalten momentan und hierzulande die beste Strategie ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 33 von 41

34 3. Akt: IPv6 ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 34 von 41

35 IPv6-Unterstützung Neues Adreßformat (AAAA, A6) IPv6-Multihoming (A6) (rapid) Renumbering (A6) IPv6 Reverse Mapping (Bitstring Labels, DNAME) ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 35 von 41

36 4A AAAA $ORIGIN X.EXAMPLE. N AAAA 2345:00C1:CA11:0001:1234:5678:9ABC:DEF0 AAAA 2345:00D2:DA11:0001:1234:5678:9ABC:DEF0 ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 36 von 41

37 Das geht besser: A6-Records $ORIGIN X.EXAMPLE. N A6 64 ::1234:5678:9ABC:DEF0 SUBNET-1.IP6 SUBNET-1.IP6 A6 48 0:0:0:1:: IP6 IP6 A6 48 0::0 CUST-X.IP6.A.NET. CUST-X.IP6.A.NET. A6 40 0:0:0011:: A.NET.IP6.C.NET. CUST-X.IP6.A.NET. A6 40 0:0:0011:: A.NET.IP6.D.NET. A.NET.IP6.C.NET. A6 28 0:0001:CA00:: C.NET.ALPHA-TLA.ORG. A.NET.IP6.D.NET. A6 28 0:0002:DA00:: D.NET.ALPHA-TLA.ORG. C.NET.ALPHA-TLA.ORG. A :00C0:: D.NET.ALPHA-TLA.ORG. A :00D0:: ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 37 von 41

38 A6 vs. AAAA AAAA im Feld A6 flexibler, komplexer aufzulösen, DNSSEC-Interaktion Selbstbeschränkung bei A6? Synthese von AAAA aus A6-Ketten Parallelexistenz erhöht Komplexität weiter... auch weil A vorerst bleibt Diskussion aktuell unentschieden Tendenz eher in Richtung AAAA oder A6/0 ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 38 von 41

39 vorletztes Finale A6-Komplexität Bitstring Labels komplex, Protokollerweiterung Skalierbarkeit fraglich... ebenso die Beherrschbarkeit ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 39 von 41

40 Der Vorhang fällt... Secure DNS ist notwendig... erfordert technisches Geschick... und darum Testbeds jetzt Internationalisierung von Schlagworten ist erforderlich DNS ist aber nicht notwendig der beste Platz zur Lösung IPv6 soll nicht an der DNS-Unterstützung scheitern ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 40 von 41

41 ... und alle Fragen offen DNS ist kritische Infrastruktur DNS ist keine Datenbank, kein Verzeichnisdienst creeping featurism wird eingedämmt Überlagerung (Schlagworte, PKI) belastet die Infrastruktur Skalieren die neuen Protokollergänzungen? Sind sie operationell beherrschbar? ISOC.DE MV 2001 DNS sicher, international Komplexität fatal? 41 von 41