Nové statistiky a růst popularity eliptických křivek v DNSSEC

Už to bude skoro půl roku, co jsme na naší konferenci IT 16.2 prezentovali záměr změnit algoritmus DNSSEC klíče zóny CZ. Kolega Zdeněk Brůna tehdy  ve své prezentaci detailně popsal výhody algoritmů založených na eliptických křivkách a to zejména algoritmu ECDSA. Nicméně vzhledem k situaci, kdy není možné tento krok provést kvůli nepodpoře tohoto algoritmu v kořenové zóně, přesunuli se naše aktivity zejména k osvětě a ke sledování dopadů osvěty na stav podpory této nové technologie. Na semináři s registrátory, který jsme měli na konci února, jsme zaznamenali pozitivní odezvu na některé vlastnosti ECDSA, jako jsou menší velikost zónového souboru nebo menší velikost DNS odpovědi. Někteří registrátoři již na místě deklarovali zájem na ECDSA přejít také. Zároveň registrátoři navrhli, abychom na našem webu zveřejnit statistiky ukazující, jak jsou různé DNSSEC algoritmy v CZ zóně používané. Tento nápad se nám líbil a tak nyní tyto statistiky zveřejňujeme.

Služba mojeID jako inspirace pro další evropské doménové registry

Jednou z důležitých vlastností služby mojeID, kterou jsme v CZ.NIC spustili před sedmi lety, je její propojení s doménovým registračním systémem. Několikastupňové ověřování poskytnutých údajů tak slouží jako jedna z metod, jak zvýšit správnost údajů o kontaktech vedených v registru .CZ domén. Jako bonus pak takto ověřené kontakty mohou používat mechanismus jednotného přihlášení pomocí autentizačních protokolů na webech, které takovou možnost nabízejí. Celkem logicky jsou mezi těmito weby také portály některých našich registrátorů, přičemž dva z nich patří v poslední době dokonce mezi top 10 služeb z hlediska počtu přihlášení. Koncept propojení doménového registru a digitální identity (eID) byl dlouhou dobu předmětem mnoha otázek od zahraničních doménových registrů a tématem mnoha prezentací na zahraničních konferencích. Nyní se zdá, že se i další zahraniční registry rozhodly tento koncept zrealizovat.

Služba mojeID získala certifikaci protokolu OpenID Connect

O protokolu OpenID Connect jsme na blogu již psali. Jedná se o nejnovější protokol pro jednotnou autentizaci z dílny organizace OpenID Foundation a tento protokol je možné použít pro implementaci přihlášení přes naší službu mojeID v libovolných internetových službách. Jednou z novinek spojenou se vznikem nového protokolu je i program certifikace implementací tohoto protokolu. Cílem certifikace je ještě více podpořit interoperabilitu služeb na Internetu, které se rozhodnou tento protokol používat. Jako první nastartovala organizace OpenID Foundation program certifikace autentizačních serverů. Do tohoto programu jsme se zapojili i my se službou mojeID a jsem rád, že můžu oznámit, že mojeID certifikaci získalo.

RDAP – nástupce WHOIS protokolu

Jsou to už čtyři roky, co jsem zde na blogu poprvé zmiňoval iniciativu na vytvoření alternativního protokolu pro službu WHOIS. Tento „vousatý“ protokol z roku 1982 přežil několik pokusů o jeho nahrazení (1995 – Whois++, 1997 – RWhois, 2005 – IRIS) a bude zajímavé sledovat, zda-li mu stávající iniciativa zasadí pověstný poslední hřebíček do rakve.

Dvoufaktorová autentizace v mojeID, tentokrát ještě jednodušeji

Pro uživatele, kteří dbají na zabezpečení svého účtu, je zbytečné doufaktorovou autentizaci představovat. Ale nebudeme si nic nalhávat, těch, co o ní vůbec neslyšeli je stále ještě dost. Přitom je to nejsilnější nástroj umožňující zabezpečit svůj účet proti jednoduchým formám phishingu, hádání hesel a dalším podobným útokům na obyčejná hesla. Principem tohoto mechanismu je v průběhu ověřování identity uživatele prokázat nejen znalost nějakého tajemství (typicky hesla k účtu), ale navíc prokázat vlastnictví nějakého zařízení (typicky mobilního telefonu). Nejběžnějším standardem pro tento typ dvoufaktorové autentizace je OTP (one time password) neboli mechanismus jednorázových hesel, které generuje aplikace například v mobilním telefonu. Tento mechanismus je v mojeID již několik let a nejběžnější aplikací, která se pro ní využívá, je populární Google Auhenticator. Drobnou nevýhodou, spojenou s tímto typem ochrany, je nutnost opisovat šestimístná čísla z mobilního telefonu a to dostatečně rychle, aby nevypršelo časové okno pro jeho použití. Vždy jsme si říkali, že dvoufaktorová autentizace by mohla být jednodušší. No a nyní vám takovou jednodušší dvoufaktorou autentizaci v mojeID můžeme konečně představit.

Offline přístup v mojeID

Jeden z nedostatků mojeID, na který čas od času upozorňovali poskytovatelé služeb, bylo omezení možnosti předání údajů o uživateli pouze na proces přihlášení tohoto uživatele k jejich službě. Hlavní výhoda mojeID, kterou je centrální správa údajů z jednoho místa, v takovém případě nemůže fungovat dokonale, jelikož některé služby nevyžadují, aby se uživatel přihlašoval k jejich službě příliš často. Pokud taková služba například pravidelně měsíčně fakturuje a uživatel si v mojeID změní fakturační adresu, služba se to bez přihlášení uživatele nedozví. Na tuto situaci nejspíš mysleli také architekti protokolu OpenID Connect, jelikož do jeho návrhu zahrnuli i možnost takzvaného offline přístupu. Tento offline přístup je nově dostupný také v mojeID.

MojeID mluví více jazyky, naučilo se SAML a OpenID Connect

Služba mojeID byla od svého vzniku v roce 2010 úzce spjata s autentizačním protokolem OpenID 2.0. Tento protokol byl pro nás v té době nejlepší volbou, protože kombinoval jednoduchost implementace a dostupnost knihoven pro různé programovací jazyky. OpenID 2.0 ale není jediný autentizační protokol. O některých dalších, jako například o protokolu SAML nebo OpenID Connect, jsem psal i na našem blogu. Zejména protokolu OpenID Connect, jehož standardizace byla dokončena na začátku loňského roku, věští analytikové slibnou budoucnost. No a dobrou zprávou je, že mojeID již není „jednojazyčné“, ale dokáže se domluvit s poskytovateli služeb i těmito dalšími protokoly.

Implementace DNSSEC v doméně CZ zvýšila úroveň zabezpečení

Technologie DNSSEC, vytvořená k zabezpečení protokolu DNS, byla do správy české domény zavedena v roce 2008. V té době byla Česká republika teprve pátou zemí na světě, v níž se k tomuto kroku správci odhodlali. V dnešní době je DNSSEC téměř standardem, a jak ukazuje statistika organizace ICANN, mezi doménami nejvyšší úrovně je poměr zabezpečených již na 84 %.

Chci také tu vaší kartičku!

Služba mojeID slouží k přihlašování na různých jiným službách na Internetu. Mezi uživateli naší služby najdeme jak ty aktivní, kteří přihlášení použijí několikrát denně, tak i ty pasivnější, kteří se přihlásí ke své oblíbené službě třeba jednou za několik měsíců. Je to způsobeno také  tím, že mnoho internetových služeb implementuje trvalé přihlášení a pokud se do nich přihlásíte jednou, můžete zůstat přihlášeni až do doby, než se vám rozbije počítač a budete ho muset přeinstalovat. Ponechme stranou bezpečnostní aspekty takového trvalého přihlášení, vždy je to osobní rozhodnutí uživatele a ten si musí být souvisejících rizik vědom. Z našeho pohledu to znamená, že to vlastní přihlášení do své oblíbené služby prostřednictvím mojeID uživatel provede velice zřídka. Často se tak na naši zákaznickou podporu obracejí uživatelé, kteří najednou zjistí, že by službu rádi použili, ale už si nepamatují své uživatelské jméno. Sdělování takových informací je samozřejmě ošidné a vyžaduje nějaké další způsoby ověření, abychom si byli jistí, že mluvíme se správným člověkem.

Nová možnost nastavení komunikace s držiteli v Doménovém prohlížeči

Minulý týden jsme vydali novou verzi Doménového prohlížeče. O této aplikaci pro držitele doménových jmen jsme psali již dříve v blogpostech o první a druhé verzi. Souhrnně řečeno v ní mohou držitelé domén najít přehledné informace o doménách, ke kterým mají nějaký vztah, ať už jako držitelé nebo administrativní či techničtí správci. Kromě toho mohou uživatelé provádět jejím prostřednictvím i některé změny a to například zablokování domén proti změnám nebo slučování duplicitních kontaktů.