V úterý (21. září 2009) došlo k podpisu dalších dvou národních TLD. Organizace SWITCH, správce národních domény Švýcarska a Lichtenštejnska, oznámila podpis domén .ch a .li. Obě tyto národní domény jsou podepsány pomocí technologie DNSSEC. Neexistence domény je řešena pomocí standardu NSEC3, bez možnosti opt-out. Klíče obou domén můžete zjistit příkazem dig +multi IN DNSKEY CH. a dig +multi IN DNSKEY LI.. Ke zveřejnění klíčů a jejich vložení do registru ITAR by mělo dojít během několika málo dní.
Každý měsíc teď už přicházejí zprávy o zavedení DNSSEC v další a další doméně nejvyšší úrovně. Český registr již eviduje více než 1 000 domén, které DNSSEC chrání. Nedá mi tedy než se nezeptat: „A co vy? Už jste také podepsali?“
Ondřej Surý
A je to tady zase… aneb vzdálený DoS na Bind9
Včera (chtěl jsem napsat dneska, ale to už jsem o nějakých 40 minut nestihl), přibyla v systému na sledování chyb, který provozuje Debian, nová chybka. Bohužel se nakonec ukázalo, že to nebyla ani chybka, ani chyba, ale přímo velechyba (vzor ryba :)).
Tudíž pozor – ve všech verzích Bind9 je chyba, která umožní útočníkovi pomocí speciálně vytvořené DNS zprávy (a kód na vytvoření takové zprávy byl rovnou přiložen v hlášení chyby) shodit váš DNS server. Tedy za předpokladu, že takový DNS server obsahuje alespoň jednu autoritativní doménu, která je útočníkovi známa.
Aktualizace: DNS serveru musí pro konkrétní zónu být master. A mimochodem do toho spadají i rekurzivní servery, které se řídí RFC1912 sekcí 4.1, a obsluhují zóny localhost, 0.0.127.in-addr.arpa, 255.in-addr.arpa a 0.in-addr.arpa.
Obrany jsou dvě, z toho jedna preventivní. První obranou je použít aktualizovanou verzi Bind9 (9.4.3-P3, 9.5.1-P3 nebo 9.6.1-P1). Druhou obranou, která je i prevencí, je neprovozovat DNS monokulturu. DNS je vcelku odolný protokol a tak mu většinou stačí, když běží alespoň jeden DNS server. Proto je obranou provozovat serverů více a používat různý DNS software. Pro autoritativní server je to například NSD. Tím zvýšíte pravděpodobnost, že podobný útok nepostihne všechny (což jsou u normálních doménových jmen většinou dva) autoritativní DNS servery, ale pouze jeden.
Podobná nebo jiná chyba se stejným způsobem může objevit u NSD, Bind9 může být pro změnu v pořádku. Jen je důležité nemít zranitelné všechny (oba) servery stejnou bezpečnostní chybou.
Ondřej Surý
První banka s DNSSEC
Technologie DNSSEC je tu především pro ty společnosti, které více než ostatní usilují o co největší internetovou bezpečnost. Informace na stránkách bank, médií a například úřadů mají natolik vysokou důležitost, která může svádět k jejich zneužití. Změnění bankovních indexů nebo významů novinových zpráv by mohlo vyvolat paniku, zmatek a řadu dalších negativních reakcí v celé společnosti.
V České republice už je řada společností, které si takovou hrozbu napadení uvědomují a dělají vše pro to, aby k němu nedošlo. Technologii DNSSEC zavedli jako první v Lidových novinách, poté se přidalo internetové knihkupectví Kosmas, společnost Internet Info provozující řadu informačních portálů, Vláda České republiky „podepsala“ doménu eu2009.cz a další.
Z výše uvedeného seznamu institucí operující s citlivými daty nám dosud chyběla banka, která by se chránila DNSSEC. Už ji máme. Do řady společností s zabezpečenými internetovými stránkami přibyla i Hypoteční banka. Radost ze zavedení máme určitě i my, na prvním místě je ale tato zpráva důležitá pro klienty této bankovní instituce. Ti totiž teď mají jistotu, že informace, které na stránkách www.hypotecnibanka.cz najdou, budou zaručeně a pouze od zaměstnanců této banky.
Vilém Sládek
Anycast, kam se podiváš… aktualizace
V jednom z předchozím příspěvků jsem psal o rozšiřování politiky RIPE iniciované CZ.NICem na přidělování anycast bloků pro TLD operátory.
Dneska mi přišel e-mail, který ve stručnosti říká, že změna politiky byla schválena a bude implementována během jednoho měsíce:
PDP Number: 2008-05
Anycasting Assignments for TLDs and Tier 0/1 ENUMDear Colleagues
Consensus has been reached, and the proposal described in 2008-05 has
been accepted by the RIPE community.The related RIPE policy documents have now been updated, published and can be found at:
IPv4 Address Allocation and Assignment Policies for the RIPE NCC Service Region:
http://www.ripe.net/ripe/docs/ripe-471.htmland
IPv6 Address Allocation and Assignment Policy:
http://www.ripe.net/ripe/docs/ripe-472.htmlThe proposal is now archived and can be found at:
http://www.ripe.net/ripe/policies/proposals/2008-05.html
The RIPE NCC will implement this new policy within one month.
Thank you for your input.
Regards
Ingrid Wijte
Policy Development Officer
RIPE NCC
Takže se můžete těšit na postupný přechod našich unicastových DNS serverů na anycastové, což bude znamenat zase o krok lepší dostupnost a odolnost proti výpadku.
Ondřej Surý
Zavedení DNSSEC pro domenu eu2009.se je na spadnutí a jedna informace navíc
Zástupci švédského národního registru jsou připraveni zavést DNSSEC pro doménu symbolizující předsednictví této země Radě EU. Tato zpráva přišla přibližně týden poté, co Česká republika ohlásila implementaci DNSSEC pro internetovou doménu eu2009.cz. Švédská „evropská“ doména by měla být podepsána od 1. července, tedy od doby, kdy Švédské království usedne na pomyslný evropský trůn.
Obě dvě země prosazují DNSSEC mezi uživateli národních domén .SE a .CZ. Švédsko je dokonce vůbec prvním státem světa, který zavedl DNSSEC pro svou národní doménu. Vedle tohoto státu a České republiky chrání DNSSEC v Evropě ještě národní doménu Bulharska (.bg).
Druhá část titulku této zprávy se týká ještě jedné zajímavé informace. Švédští správci tamního doménového registru zároveň řekli, že doména eu2009.se bude přístupná přes IPv6. Tato informace může být zajímavá zejména proto, že má šanci dostat se i k běžným uživatelům internetu. Ti totiž nemusí vůbec tušit, že může v blízké budoucnosti nastat s internetem velký problém a že nějaký protokol IPv6 vůbec existuje.
Vilém Sládek
Anycast, kde se podíváš…
Tak mi dnešní setkání address-policy-wg udělalo velkou radost. Těsně po minulé schůzce evropské internetové komunity v rámci RIPE jsme v CZ.NICu začali pracovat na rozšíření politiky přidělování IPv4 a IPv6 adres. Konkrétně pak sekci, která se týká přidělování speciálních bloků adres TLD registrátorům. Tyto adresy musí být využívány pro DNS anycast, což je technika, kdy je v síti na různých (většinou geograficky odlišných) místech více serverů, které obsluhují stejnou IP adresu. (Co je to anycast, se můžete dočíst detailně například v článku AS112 – projekt DNS anycast.) Navrhovaná změna mění počet přidělovaných IP bloků pro DNS anycast z jednoho na celkem čtyři bloky.
Následně jsme spojili své síly s Nominetem (anglický registr pro .UK), který původně navrhoval rozšíření této politiky o ENUM registry. Společně jsme pak vypracovali návrh, který byl ve čtvrté verzi představen na dnešním setkání pracovní skupiny Address Policy.
A proč ta radost? Protože všechny komentáře, které k tomuto dokumentu mělo publikum, byly veskrze pozitivní a doporučili schválení této změnu politiky přidělování IPv4 a IPv6 adres. Tudíž se po zapracování těchto úprav do relevantních dokumentů můžete těšit na změny v konfiguraci DNS serverů pro domény .cz a .0.2.4.e164.arpa. Dojde ke snížení počtu unicast serverů a navýšení počtu anycast serverů na finální čtyři, které byly předmětem navrhovaných změn v politice RIPE.
Ondřej Surý
Klíč pro .gov vložen do DLV registru dlv.isc.org
Dne 1. května 2009 došlo k opětovnému vložení klíče pro doménu .gov do DLV registru provozovaným organizací ISC na adrese dlv.isc.org. Verze Bind 9 starší než 9.5.1-P2 a 9.3.4-P2 obsahují chybu, která způsobí nefunkčnost domény .gov, pokud je zapnutá DNSSEC validace pomocí DLV. Tyto verze daemona Bind 9 špatně pracují s neznámými algoritmy a protože doména .gov používá NSEC3 klíče, dojde k chybě při validaci a všechny domény končící na .gov se jeví jako nedostupné.
V Debianu je verze Bind9 9.5.1-P2 dostupná od 29. dubna 2009 pro aktuální stabilní vydání (lenny). Stav v ostatních distribucích můžete poznamenat v komentářích.
Ondřej Surý
DNSSEC ve linuxové distribuci Fedora 11
Přibližně za měsíc vyjde nová verze populární Linuxové distribuce Fedora. Jsem dlouholetým uživatelem distribucí Redhat a Fedora a tak mě v seznamu nových věcí velice potěšila podpora validace DNSSEC. Implementace podporuje jak DLV tak ITAR pro resolvery BIND i Unbound. Je skvělé, že tvůrci takto významné distribuce podporu DNSSEC zavedli, ostatní se jistě nenechají zahanbit. Vzhledem k tomu, že Linux už není pouze záležitostí serverů, ale že jej stále více lidí používá i jako pracovní stanici, přesouvá se tím validace DNSSEC od poskytovatelů připojení přímo ke koncovým uživatelům. V souvislosti s tímto bude zajímavé prozkoumat, jak se k DNSSEC dotazům budou stavět všemožné domácí WiFI a ADSL routery s NATem. Abychom mohli případné problémy předvídat, rozhodli jsme se, že budeme testovat domácí routery různých výrobců a budeme reportovat případné problémy.
Váš linuxový fanoušek
DNSSEC už i v Asii
Dnes ráno mě informoval můj DNS server, že v ITARu jsou nové klíče pro další doménu nejvyšší úrovně. Musím říct, ze jsem v tomto týdnu žádnou takovou zprávu nečekal a tak jsem byl trochu překvapený. Toto překvapení se změnilo v údiv ve chvíli, kdy jsem zjistil, že jde o podpis domény z Asie a navíc ze státu, který žádné plány na zavedení DNSSEC veřejně nevyhlásil. První podepsanou doménou v Asii je tedy doména .th – Thajsko. Doufejme, že nebude v tomto regionu osamocena dlouho.
Ondřej Filip
České firmy začínají objevovat DNSSEC
Často slýchávám názor, že pro úspěch technologie DNSSEC je potřeba, aby bylo podepsáno co největší množství domén. To mi přijde podobné, jako kdybychom chtěli, aby každý dům měl ve svém sklepení bankovní trezor odolný proti dynamitu.
Není přeci nutné podepisovat doménu, která slouží pouze pro web s fotkami z dovolené, ale naopak je důležité podepsat domény významných služeb: vyhledávačů, zpravodajských portálů, bank, e-shopů a podobně.
V nedávné době byly podepsány dvě domény, obě z té důležitější kategorie. V minulém týdnu to byla doména jednoho z největších internetových knihkupectví v republice, které funguje na internetové adrese www.kosmas.cz, a dnes jsem si všiml, ze je podepsána i doména významného internetového zpravodajského serveru lupa.cz. To jsou dobré zprávy. Doufejme, že další významné domény na sebe nenechají dlouho čekat.
Ondřej Filip