DNSSEC is vandaag! Marco Davids Technisch adviseur 22 maart 2013 KING Leveranciersbijeenkomst Utrecht

Transcriptie

1 DNSSEC is vandaag! Marc Davids Technisch adviseur 22 maart 2013 KING Leveranciersbijeenkmst Utrecht 1

2 SIDN? Wat is DNS(SEC)? Huidige status? Wrap up 2

3 SIDN 3

4 SIDN Stichting Internet Dmeinregistratie Nederland Registry vr.nl 4

5 .nl in cijfers Tp 10 cctld s 1.DE (Duitsland) 15,2 m 2.TK (Tkalau) 10,8 m 3.UK (Ver. Kninkrijk) 10,2 m 4.NL (Nederland) 5 m 5. CN (Vlksrep. China) 4,1 m 6.RU (Rusland) 4 m 7.EU (Eurpese Unie) 3,67 m 8. BR (Brazilië) 3 m 9. AR (Argentinië) 2,7 m 10.AU (Australië) 2,5 m (brn: CENTR, sept 2012) (brn: SIDN) 5

6 .nl vandaag Hge dmeinnaam-dichtheid 1 e TLD in termen van DNSSEC 6

7 DNS(SEC) 7

8 9 1 DNS queries Geef me (het adres van) kun je hier vinden: Bezek site lkale reslver 8 = Geef me Vraag de nameserver van.nl (p dit adres) Geef me Vraag de nameserver vr example.nl ( ) Het Geef me Internet = (authritatieve) nameservers rt-server tp-level DNS server (.nl) authritatieve DNS server (example.nl)

9 DNS misbruik (cache pisning) 9

10 DNS 'cache pllutin' (authritatieve) nameservers Geef me lkale reslver Waar is Vraag de nameserver van example.nl rt & TLD servers kun je hier vinden slachtffer = Waar is kun je hier vinden: authritatieve DNS server (example.nl) kun je hier vinden: nep authritatieve DNS server

11 DNSSEC: Digitale zegels RRSIG example.nl RRSIG SOA ( example.nl. TWLzBuUgXWMA9cj+xe6YMjXy2/VdauWnONk7 uap8jcdzsemcfwv4cfzxws2yx291+5jbmp m5alwpm7ijbsbgagz22ywlkn8jog3ktcm2y UX/c8/ATbYEBPKRjBs+YQKmY1NppwSjFi9Y0 1fVEBbrCnI0EP33c/VK97s8NG8= ) 11

12 Brn: 12

13 DNSSEC is vandaag Ruim 26% van alle.nl dmeinnamen is beveiligd Andere TLD s zijn k flink bezig Steeds meer validatie (deze week ng Ggle s Public DNS) Sftware begint ged vlwassen te wrden Veel DNS(SEC) expertise in Nederland De de check: 13

14 DNSSEC (als enabling technlgy ) 14

15 Check zelf: DKIM (DmainKeys Identified Mail) Asscieer een dmeinnaam met een e mail Claim verantwrdelijkheid vr die mail Dit gebeurt d.m.v. een digitale handtekening Masterclass p 28 maart! ( Algemeen gebruikt: Yah, HtMail, Gmail. Wie niet? De handtekening is te cntrleren m.b.v. een gegeven in DNS Dus DNSSEC heeft belangrijke meerwaarde 15

16 Check zelf: SPF (Sender Plicy Framewrk) Verklaar wat geldige mailservers zijn Neem dit p in DNS (als SPF recrd) Dus DNSSEC heeft hier meerwaarde DMARC (Dmain based Message Authenticatin, Reprting and Cnfrmance) Verklaar wat uw beleid is. 16

17 DMARC rapprt (vrbeeld) Brn:

18 Brn: PC SIDN Labs (internal) DANE (DNS based Authenticatin f Named Entities) Cntrleer PKI certificaten m.b.v. DNS DigiNtar incident had hiermee vrkmen kunnen wrden. RFC6698 (augustus 2012) Vrwaarde: DNS met beveiligd zijn met DNSSEC 18

19 Man in the Middle ServerHell ServerHell Het (frauduleuze) certificaat is Niet expired f revked Validateert met een van de CA s Heeft een klppende cmmn name 23

20 Klpt het? ServerHell ServerHell _443._tcp. IN TLSA ( d2abde240d7cd3ee6b4b28c54df034b9 7983a1d16e8a410e4561cb106618e971 ) 26

21 Echte certificaat klpt met TLSA, frauduleuze certificaat niet == _443._tcp. IN TLSA ( d2abde240d7cd3ee6b4b28c54df034b9 7983a1d16e8a410e4561cb106618e971 )!= _443._tcp. IN TLSA ( d2abde240d7cd3ee6b4b28c54df034b9 7983a1d16e8a410e4561cb106618e971 ) 28

22 DNSSEC _443._tcp. IN TLSA ( d2abde240d7cd3ee6b4b28c54df034b9 7983a1d16e8a410e4561cb106618e971 ) 32

23 DNSSEC the enabling technlgy _443._tcp. IN TLSA ( d2abde240d7cd3ee6b4b28c54df034b9 7983a1d16e8a410e4561cb106618e971 ) _443._tcp. IN RRSIG TLSA ( example.nl. bnmynbco3mwravvmix7khpuggidpbfmz2icmq0gjz7ud A3tz0EKmBjqxOdwZaZNj2KrtxFJ2ta7elURYIHTpFFl9 +hjftpebjlklj636ilcyqcsxaytleiu7vop2nnx8y6+m g+toku4xnpk/hslelmia+zxkj8zxj+yxdedul= ) 33

24 DANE standaard DNSSEC/TLSA validatr Dr Paul Wuters (gebaseerd p werk van CZ.NIC en D. Grenewegen) 34

25 Waar staan we? 35

26 Hype cycle by curtesy f: SURFnet 36

27 Hype cycle by curtesy f: SURFnet 37

28 De ntwikkeling van DNSSEC Uptake van DNSSEC dmeinen in.cm,.net,.edu.edu : 0.9%.net : 0.2 %.cm: 0.15 % brn: Verisign labs 38

29 De ntwikkeling van DNSSEC Uptake van DNSSEC dmeinen in.nl,.cz,.br en.se In.nl is het 26%! brn: PwerDNS 39

30 Mrgen is vandaag! 40

31 Brn: Een veiliger en beter schaalbaar internet met IPv6, DNSSEC, DKIM (en, p termijn: DANE) Het Frum Standaardisatie wijst de weg Zie k de pas te f leg uit lijst Zet IPv6, DKIM, DMARC, SPF en DNSSEC p uw pririteitenlijst Hu DANE in de gaten 41

32 42