Security bij de European Registry for Internet Domain Names

Transcriptie

1 Security bij de European Registry for Internet Domain Names Peter Janssen Technical Manager EURid vzw/asbl Computable Security Seminar 25/09/2008

2 Wie is EURid? Not for profit organisatie Naar Belgische Wet(2003) Onder contract met de Europese Commissie Opgericht door DNS BE, IIT CNR en NIC SE, beheerders van country-code top level domain voor België (.be), Italië (.it) en Zweden (.se) Verantwoordelijk voor administratieve en operationele beheer van de.eu domein naam ruimte

3 Definitie van een Registry? Verificatie & controle Beheer van domein namen Domein namen doen werken

4 DNS Services

5 DNS Services Mensen : zijn niet in staat om een reeks cijfers te onthouden kunnen namen onthouden Basis van DNS Vertaal namen in getal reeksen Opzoeken van extra info voor een naam mailserver, Opzetten van communicatie kanalen zoals VOIP, chat,... DNS alom aanwezig is de basis geworden van het Internet zoals de gewone eindgebruiker het kent

6 DNS Services Root Name Root Servers A? p.nic.eu l.nic.eu Website Hoster.EU Name.EU Servers A? ns1.def.eu ns2.hikk.com Registrar of Hoster Name xyz.eu Servers Servers A? dns.provider.eu A? Eindgebruiker s Provider Eindgebruiker

7 DNS Services Originele setup Amsterdam Brussels Ljubljana London Milano Prague

8 DNS Services Originele Setup Geografisch gespreid Belangrijke internet knooppunten Diverse connectiviteit Hoge Bandbreedte Zwaar overgedimensioneerde machines Filter (foute) traffiek Aggressieve firewalling

9 DNS Services Originele Setup DNS Software draait in chroot jail nameserver Packetfilter: Van anywhere, naar port 53 Van specifiek IP, naar VPN port Statefull software firewall

10 DNS Services Huidige Setup Originele zes machines Twee anycast meshes Hardware diversiviteit Routers, switches, servers Operating System diversiviteit Software diversiviteit DNS software

11 DNS Services Huidige Setup Anycast : Multi aanwezigheid op het Internet DDos verlichting Performantie Schaalbaarheid Hardware falen opvanging

12 DNS Services (Unicast)

13 DNS Services (Anycast)

14 DNS Services Toekomst Drie machines per node Ipv één machine per node Clustering on site Volledig automatische redundante Performantie stijging (toevoegen van machines) Hardware Fail-over (eenderwelk deel) Virtualisatie van de service Voegt een extra (security) laag toe

15 DNS Services Toekomst Server u.v.w.x Port vpn dom0 Bridge domu a.b.c.d Port 53

16

17 Registratie Systeem

18 Registratie Systeem Publieke Toegang Websites, , whois, EPP,... Klassieke beveiliging Hoge beveiliging Firewalling Hoog performante infrastructuur

19 Registratie Systeem ISP1 ISP2 ISP3 ISP4 Routing Cluster Packet Filtering Firewall Cluster Statefull Firewall Virtuele Database Virtuele Servers

20 Registratie Systeem EPP service XML gebaseerde registratie module Bron IP adres check & filter SSL verbinding (server certificaat) Gebruikersnaam & wachtwoord Maximum op aantal paralelle verbindingen

21 Registratie Systeem Initiële start Security code per post (contract) Activatie code per Aanloggen op beveiligde website Server certificaat, SSL Security code + Activatie code Activatie : kies wachtwoorden

22 Registratie Systeem Whois 1 query per bron IP per seconde 100 queries per bron IP per uur Applicatie filtering Firewall filtering (drop pakket) Router filtering (blackholing)

23 Registratie Systeem Site faalt Airbus 380 crasht,... Data Replicatie Hoofd Site (BE) Uitwijkcentrum(CZ)

24 Registratie Systeem Tape robots Onsite backup, offsite restore Data escrow Dagelijkse volledige upload van alle gegevens naar een onafhankelijk Escrow bedrijf Verificatie proces (whois, dns, mystery shopping,...)

25

26 Support Services

27 Support Services 4 kantoren Brussel, Pisa, Praag & Stockholm Geografisch gespreid Volledige onafhankelijke van de andere kantoren Geen cruciale gegevens op de kantoren

28 Volgende stappen Virtualisatie Firewalling in software op hypervisor laag Compartmentalisatie Mandatory Access Control Inbraak detectie & preventie

29 Compartmentalisatie BladeChassis 1 Blade 1 Blade 2 BladeChassis 2 Blade 3 Blade 4 V M 1 V M 2 V M 3 V M 4 V M 5 V M 6 V M 7 V M 8 V M 9 V M 10 V M 11 V M 12 Hypervisor Hypervisor Hypervisor Hypervisor

30 Mandatory Access Control Operating System beperkt de mogelijkheid van een : initiëerder om toegang te krijgen tot of om een actie uit te voeren op een object of doel. Initiëerder ~~ een proces of thread object ~~ bestanden, folders, TCP/UDP poorten, Beveiligings attributen (bekrachtigd door OS) beslissen of de toegang wordt toegestaan

31 Inbraak detectie & preventie ISP1 ISP2 ISP3 ISP4 Routing Cluster Packet Filtering Firewall Cluster Statefull Firewall Inbraak detectie & preventie Appliances Virtuele Database Virtuele Servers

32 Conclusie Beveiliging == Work in Progress Think out of the box Wat kan er nog mis gaan? Beheers huidige technologie The bad guys surely will!

33