Druhá fáze automatizované správy DNSSEC klíčů

Na červnové konferenci IT 17 jsme informovali o spuštění nového způsobu správy DNSSEC klíčů v registru domény CZ. Jak je výstižně popsáno v blogpostu Ondřeje Filipa, naším cílem je co nejvíce minimalizovat administrativu spojenou se zavedením DNSSEC pro držitele CZ domén. S využitím nového způsobu správy DNSSEC klíčů stačí, aby správce DNS při použití správného nástroje pouze zapnul DNSSEC, nastavil jeho parametry a o nic víc se nemusí starat. Při startu projektu jsme rozdělili domény do tří skupin – na domény bez DNSSEC, na domény, které jsme novým způsobem převedli do automatizované správy, a na domény, které již DNSSEC nastaven měly.  Na konferenci jsme oznámili spuštění podpory automatizované správy DNSSEC klíčů pro první dvě skupiny domén s tím, že třetí skupinu zapojíme do projektu později. Dnes tedy plníme tento slib a spouštíme druhou fázi se zapojením také zmíněné třetí skupiny domén.

Testování verzí CMS aneb Co se povedlo a na co si dát příště pozor

Testování verzí CMS (Content Management System), ke kterému jsme přistoupili začátkem léta, vzbudilo poměrně značný ohlas v odborné komunitě. Zaznamenali jsme jak hlasy, které naši iniciativu vítaly, tak také ty, kterým z nějakého důvodu vadila. V tomto blogpostu bych chtěl na některé výtky reagovat bližším vysvětlením naší motivace i kroků v pozadí. Byla to naše první zkušenost s podobnou plošnou akcí a je třeba přiznat, že jsme se také dopustili některých přehmatů. I o těch se chci zmínit a omluvit se komunitě za případné negativní dopady, které to mohlo způsobit. Z ohlasů také víme, že některé z vás by zajímalo, jaké byly výsledky této akce. I na ty se tedy podíváme a zkusím také nastínit další věc, která by měla navazovat. Pojďme ale pěkně popořádku.

Nové přírůstky do rodiny uživatelů registračního systému FRED

Náš open source registrační systém FRED se v loňském roce uchytil v Togu, Argentině a Malawi. Zejména Argentina jakožto osmá největší země světa nás hodně potěšila. Argentina je tedy nyní největší doménový registr, který systém FRED kromě nás používá. Jelikož máme informace ze zemí, které náš systém již delší čas testují, bylo pro nás celkem překvapení, když se na začátku letošního roku ozvali z Macaa, že bez problémů zvládli instalaci, migraci a již brzy plánují produkční provoz. Registr domény .MO je tedy první asijská destinace našeho produktu. Krátce poté jsme se dozvěděli o dalším registru v Africe, který zvládl přechod na FRED. Je jím malá země Lesotho používající doménu .LS. Podívejme se na tyto nové přírůstky do komunity uživatelů systému FRED podrobněji.

Nové statistiky a růst popularity eliptických křivek v DNSSEC

Už to bude skoro půl roku, co jsme na naší konferenci IT 16.2 prezentovali záměr změnit algoritmus DNSSEC klíče zóny CZ. Kolega Zdeněk Brůna tehdy  ve své prezentaci detailně popsal výhody algoritmů založených na eliptických křivkách a to zejména algoritmu ECDSA. Nicméně vzhledem k situaci, kdy není možné tento krok provést kvůli nepodpoře tohoto algoritmu v kořenové zóně, přesunuli se naše aktivity zejména k osvětě a ke sledování dopadů osvěty na stav podpory této nové technologie. Na semináři s registrátory, který jsme měli na konci února, jsme zaznamenali pozitivní odezvu na některé vlastnosti ECDSA, jako jsou menší velikost zónového souboru nebo menší velikost DNS odpovědi. Někteří registrátoři již na místě deklarovali zájem na ECDSA přejít také. Zároveň registrátoři navrhli, abychom na našem webu zveřejnit statistiky ukazující, jak jsou různé DNSSEC algoritmy v CZ zóně používané. Tento nápad se nám líbil a tak nyní tyto statistiky zveřejňujeme.

Snížení TTL v zóně .cz

V DNS záznamech je uložena celá řada důležitých údajů, mimo jiné i to, jak rychle tyto údaje zastarávají – TTL (Time to live). TTL v systému DNS udává, jakou dobu je možné uchovat data v rekurzivním DNS serveru (resolveru) bez toho, aniž by se na ně zeptal autoritativního DNS serveru. Čím je TTL nižší, tím se resolvery dotazují autoritativních DNS častěji a díky tomu mají aktuálnější data. Zároveň ale nižší TTL zvyšuje zátěž systému DNS a s přihlédnutím k tomu, že se záznamy v DNS nemění často, tak se TTL obvykle nastavuje v řádu hodin.

Blokace a odblokování v registru whois

Dnes si povíme, k čemu můžete využít blokaci v registru a jak na to, abyste zablokovali a odblokovali jednoduše.

U své domény, kontaktu, sady klíčů nebo jmenných serverů můžete blokovat buď převod k jinému registrátorovi nebo provedení jakýchkoli změn. Blokaci provádí vždy jen osoba, která je k takovému kroku oprávněná, to znamená, že zablokovat doménu může pouze její držitel či administrativní kontakt, zablokovat sadu klíčů nebo jmenných serverů může zase jen technický kontakt. Je také dobré vědět, že blokace se nijak netýkají provozu objektu, jen zabrání změnám údajů.

Služba mojeID jako inspirace pro další evropské doménové registry

Jednou z důležitých vlastností služby mojeID, kterou jsme v CZ.NIC spustili před sedmi lety, je její propojení s doménovým registračním systémem. Několikastupňové ověřování poskytnutých údajů tak slouží jako jedna z metod, jak zvýšit správnost údajů o kontaktech vedených v registru .CZ domén. Jako bonus pak takto ověřené kontakty mohou používat mechanismus jednotného přihlášení pomocí autentizačních protokolů na webech, které takovou možnost nabízejí. Celkem logicky jsou mezi těmito weby také portály některých našich registrátorů, přičemž dva z nich patří v poslední době dokonce mezi top 10 služeb z hlediska počtu přihlášení. Koncept propojení doménového registru a digitální identity (eID) byl dlouhou dobu předmětem mnoha otázek od zahraničních doménových registrů a tématem mnoha prezentací na zahraničních konferencích. Nyní se zdá, že se i další zahraniční registry rozhodly tento koncept zrealizovat.

Normální je mít DNSSEC

Letošní 5. prosinec se zapsal do historie bezpečnosti českého Internetu překročením významné mety. Od tohoto data totiž v registru .cz domén evidujeme více těch se zabezpečením DNSSEC, než těch co toto rozšíření protokolu DNS postrádají. U více než 51 % (653 297) .cz domén můžeme ověřovat důvěryhodnost údajů poskytovaných systémem DNS a spoléhat na to, že tyto údaje nebyly cestou k uživateli podvrženy.