Domain Name System Security Extensions
| TCP/IP protokollhierarchia |
|---|
| Alkalmazási protokollok |
|
DHCP · DNS · FTP · HTTP · IMAP · IRC · POP3 · SIP · SMTP · SNMP · SSH · Telnet · BitTorrent |
| Szállítási protokollok |
| Hálózati protokollok |
| Adatkapcsolati protokollok |
|
Ethernet · Wi-Fi · Token-Ring · FDDI · PPP |
| Fizikai protokollok |
|
RS-232 · 100Base-TX · 1000Base-TX · 10Base2 · 10Base-T |
A DNSSEC (Domain Name System Security Extensions) az internet (illetve az IP-alapú hálózatok) egyik alapvető, névfeloldást biztosító szolgáltatásának, a DNS-nek az Internet Engineering Task Force (IETF) által specifikált, biztonsági célú kiterjesztése.
Bevezetése
Az internet civilizációnk infrastruktúrájának egyik kritikus eleme, működése mégis az alapvetően nem biztonságos DNS-től függ. Így erős a késztetés a DNS biztonságossá tételére, és a DNSSEC bevezetése általános nézet szerint ennek igen fontos lépése. A 2003-as amerikai stratégiai dokumentum, a National Strategy to Secure Cyberspace külön kiemelte a DNS biztonságossá tételének igényét.[1] A DNSSEC széles körű elterjedése több más biztonsági problémát is megoldana, például az e-mailcímekhez tartozó kulcsok biztonságos terjesztéséét.
A DNSSEC specifikációjának megalkotása azonban kemény diónak bizonyult. Az egyik kritikus elemet, az NSEC3-at mindössze 2008 márciusában írták le egy RFC-ben, és azóta se terjedt el széles körben.
A DNSSEC nagy léptékű hálózatokon való bevezetése szintén nem problémáktól mentes. Ozment és Schechter megfigyelése szerint a DNSSEC (ahogy más technológiák) bevezetését a „tyúk-tojás” probléma akadályozza; a felhasználók jellemzően akkor vezetnek be egy technológiát, ha abból közvetlen előnyük származik, de ha szükség van egy minimális szintű elterjedésre mielőtt bármelyik felhasználó haszna meghaladná a költségeket (ami a DNSSEC-re igaz), akkor a bevezetés nehéz lesz.[2] A DNSSEC a DNS hierarchiájának bármely szintjén alkalmazható, de használatának el kell érnie egy szintet a zónában, mielőtt a felhasználók számára kívánatos lenne. A DNS-szervereket frissíteni kell a DNSSEC-et alkalmazni tudó szoftverre, a DNS zónához hozzá kell adni a DNSSEC-specifikus adatokat. A TCP/IP kliensek DNS-resolvere sem feltétlenül ismeri frissítés nélkül a DNSSEC protokollt. Bármilyen resolvernek tartalmaznia kell (vagy képesnek kell lennie szerezni) legalább egy megbízható nyilvános kulcsot a DNSSEC használatának megkezdése előtt.
Magyarországi bevezetése
A .hu TLD-nél 2011-ben kísérleti üzemben bevezetik a DNSSEC-et, 2012-re várható az éles üzem.[3]
Jegyzetek
- ↑ U.S. National Strategy to Secure Cyberspace, p. 30 February 2003
- ↑ Bootstrapping the Adoption of Internet Security Protocols, Andy Ozment and Stuart E. Schechter, June 26–28, 2006
- ↑ DNSSEC a .hu alatt
Források
Fordítás
- Ez a szócikk részben vagy egészben a Domain Name System Security Extensions című angol Wikipédia-szócikk ezen változatának fordításán alapul. Az eredeti cikk szerkesztőit annak laptörténete sorolja fel. Ez a jelzés csupán a megfogalmazás eredetét és a szerzői jogokat jelzi, nem szolgál a cikkben szereplő információk forrásmegjelöléseként.