Zona raíz del DNS Firma y rotación de claves Carlos

Transcripción

1 Zona raíz del DNS Firma y rotación de claves 2017 Carlos carlos@lacnic.net 1

2 El árbol del DNS. (Raíz).com.cl.uy.net nic lacnic

3 El árbol del DNS (ii).com.cl nic. (Raíz).uy Todas las consultas DNS dependen de una consulta a la zona raíz del DNS.net lacnic Consulta DNS: Cuál es la dirección IPv6 de (AAAA?, net) (AAAA?, net) (AAAA?, net)

4 Firma de la zona raíz Firmamos las zonas raíz para poder tener seguridad de que las respuestas que obtenemos son válidas y no han sido alteradas La KSK (Key Signing Key) de la zona raíz es la clave criptográfica más importante de todo el sistema de DNS La parte pública de la clave KSK de la raíz es un parámetro de configuración de los DNS recursivos DATA KSK

5 Gestión de la zona raíz La gestión de la zona raíz, es decir: El agregado de nuevos registros La modificación de registros existentes La remoción de registros Es una de las funciones de IANA

6 Como se firma la zona raíz? La zona raíz se firmó en junio de 2010 por primera vez. Desde ese momento ha existido una única clave KSK La llamamos "KSK-2010" Visible en Internet desde 2010, no hubo otra antes Este año se está poniendo en producción una nueva KSK "KSK-2017" La rotación de la clave consiste en encadenar operaciones de tal manera que la transición ocurra sin afectación de servicio Quienes operamos servidores DNS recursivos quizás tengamos algo de trabajo que hacer Quizás solamente revisar las configuraciones O quizás instalar manualmente la KSK-2017

7 Firma de la zona raíz La KSK de la raíz es crítica para la seguridad del DNS Se necesita Custodiar la clave adecuadamente Realizar el proceso de generación de claves de manera transparente para crear confianza en la comunidad

8 Firma de la zona raíz Custodia y garantías Seguridad lógica Parámetro criptográficos, seguridad en sistemas asociados Seguridad física Diversidad de lugares, multiplicidad de sistemas Transparencia Involucramiento de la comunidad TCRs, trusted community representatives

9 Firma de la zona raíz Generación de claves en ceremonias guionadas Materiales (software, guión) disponibles públicamente

10 Firma de la zona raíz

11 Firma de la zona raíz

12 EXPECTATIVAS ACERCA DEL PROCESO

13 KSK-2017: Hitos a observar Event Date Creación de la KSK de octubre de 2016 Validación para producción February 2, 2017 Publicación fuera de banda Desde ya! Publicación en-banda (rotación automática) A partir del 11 de julio de 2017 Firmado de la zona (uso en producción) A partir del 11 de octubre de 2017 Revocación de la KSK de enero de 2018 Remoción y borrado definitvo de la KSK Fechas a confirmar (2018)

14 Que hacer? Fundamentalmente estar preparados y atentos Revisar la red Que servidores DNS tengo? Tipos de sofware, versiones Monitorear Es difícil tomar decisiones sobre lo que no se mide Preparar un plan de acción Ejecutarlo, teniendo en cuenta las fechas del slide anterior March 20,

15 Preparación Documentación ICANN Sus servidores validan DNSSEC? Incluso si la respuesta es NO, igual pueden haber efectos secundarios como el de fragmentación Identificar proveedores y puntos de contacto por si hiciera falta obtener ayuda Apoyo de la comunidad, listas de correo: announce March 20,

16 Test - tamaño de KSK March 20,

17 Test - tamaño de KSK

18 Monitoreo Prestar atención a: Mensajes de log que mencionen fallas de DNSSEC problemas con las claves configuradas? Mayor cantidad de paquetes fragmentados en la red problemas con respuestas DNS de gran tamaño? Trust anchors en los DNS recursivos Chequear que individualmente funcionen correctamente Buenas prácticas Genear exceso de alertas es malo Al final del día uno las ignora Silencio no debiera ser sinónimo de que todo está bien Monitorear fallas también March 20,

19 Que hace falta hacer entonces? Corregir lo que eventualmente deba ser corregido Incluso si no utiliza DNSSEC y validación Cuidado con la fragmentación! Si va a utilizar Automated Updates (RFC5011) Chequear la configuración del server para que este pueda implementar la rotación adecuadamente Verificar que en agosto / setiembre de 2017 los servers ya confían en la KSK-2017 Si va a actualizar las claves manualmente Tenga en cuenta de actualizar *todos* sus servidores March 20,

20 Actualizaciones manuales de la KSK Para simplificar el proceso Existe un script en python, get_trust_anchor.py Disponible en El script genera archivos de configuración para servers March 20,

21 Muchas gracias!