Опыт внедрения DNSSEC

•Télécharger en tant que PPT, PDF•

1 j'aime•539 vues

Philipp Kulin

ХостОбзор Весна 2013

Technologie

Внедрение DNSSEC
Филипп Кулин,
phil@dreamless.ru
01.06.2013

Зачем DNSSEC
• Цепочка доверия для записей от
корневой зоны.
• Предотвращение атаки «мужик
посерёдке»
• Вкусняшки: RR CERT, RR SSHFP, DANE

Принцип работы DNSSEC
• Ключи ZSK и KSK задаются в записях
типа DNSKEY зоны
• Все наборы записей зоны
подписываются ZSK (записи RRSIG)
• Набор записей DNSKEY
подписываются в том числе KSK
• Хэш KSK передаётся родителю (запись
DS)

Сложности внедрения
• План ротации ключей и времён
обновления подписи
• Стыковка с регистратором
• Проверка зоны и отзыв подписи
• Действия с DNSSEC должны быть
аккуратными и постоянно
контролироваться

Сложности DNSSEC
• Смена NS
• Имеется тяжкое наследие. Путаница в
документации.
• Файл hosts и клиентское ПО
• Метод блокировки сайтов через DNS….

DANE
• Реализует цепочку доверия для
сертификата, подтверждая его
доменное имя.
• Позволяет массово ввести HTTPS
• Браузеры пока нет, exim – в разработке.
• RFC 6698

Поддержка DNSSEC
• Google Public DNS
• Регистратор GoDaddy
• Регистратор Directi НЕ поддерживает
• RU/SU/РФ подписаны
• Из наших регистраторов –
пользователи «виртуального
регистратора», частично RU-CENTER

Recommandé

DNSSECPhilipp Kulin

FlexiregFAITID

A popular DNS security overview. Modern theory and practicePhilipp Kulin

Технические аспекты блокировки интернета в России. Проблемы и перспективыPhilipp Kulin

Как мы сбежали от PostgreSQL или когда реляционная БД не справляется, Куманяе...Coub

A popular DNS security overviewPhilipp Kulin

Стажировка 2016-08-04 01 Денис Нелюбин. Шифрование и безопасностьSmartTools

Юрий Насретдинов-«Сбор логов в «облаке» в Badoo»Tanya Denisyuk

Recommandé

DNSSECPhilipp Kulin

FlexiregFAITID

A popular DNS security overview. Modern theory and practicePhilipp Kulin

Технические аспекты блокировки интернета в России. Проблемы и перспективыPhilipp Kulin

Как мы сбежали от PostgreSQL или когда реляционная БД не справляется, Куманяе...Coub

A popular DNS security overviewPhilipp Kulin

Стажировка 2016-08-04 01 Денис Нелюбин. Шифрование и безопасностьSmartTools

Юрий Насретдинов-«Сбор логов в «облаке» в Badoo»Tanya Denisyuk

Курс высокие нагрузки и надежность: отрывокAndrey Smirnov

Управление контейнерами в облакахAleksey Zalesov

Курс высокие нагрузки: очереди (отрывок)Andrey Smirnov

HighLoad весна 2014 лекция 6Technopark

Курс высокие нагрузки: сеть (отрывок)Andrey Smirnov

Lyamin press2015Alexander Lyamin

HighLoad весна 2014 лекция 2Technopark

Максим Дунин, Nginx, Inc.Ontico

Профилирование Node.jsDenis Chistyakov

DNS в условиях хостинг-провайдера / Константин Новаковский (Selectel)Ontico

Защита веб-ресурса от DDoS-атак на примере нашего клиента - Rutracker.orgIT61

Вячеслав Бирюков - HTTP и HTTPSYandex

Роман Иманкулов-«Быстрые и масштабируемые приложения с Sync API»Tanya Denisyuk

Работа с Git в команде Яндекс.Браузера — Алёна ЦарёваYandex

Docker в работе: взгляд на использование в Badoo через годBadoo Development

Горизонтальное масштабирование: что, зачем, когда и как /Александр Макаров (Y...Ontico

DDoS: Survival GuideHighloadLab

HighLoad весна 2014 лекция 5Technopark

Архитектура хранения фотографий в BadooBadoo Development

За счет чего Tarantool такой оптимальный / Денис Аникин (Mail.Ru)Ontico

Dnssec in UA - Talk at UAdom 2011Dmitry Kohmanyuk

Учет и управление IP-ресурсами сетиCisco Russia

Contenu connexe

Tendances

Курс высокие нагрузки и надежность: отрывокAndrey Smirnov

Управление контейнерами в облакахAleksey Zalesov

Курс высокие нагрузки: очереди (отрывок)Andrey Smirnov

HighLoad весна 2014 лекция 6Technopark

Курс высокие нагрузки: сеть (отрывок)Andrey Smirnov

Lyamin press2015Alexander Lyamin

HighLoad весна 2014 лекция 2Technopark

Максим Дунин, Nginx, Inc.Ontico

Профилирование Node.jsDenis Chistyakov

DNS в условиях хостинг-провайдера / Константин Новаковский (Selectel)Ontico

Защита веб-ресурса от DDoS-атак на примере нашего клиента - Rutracker.orgIT61

Вячеслав Бирюков - HTTP и HTTPSYandex

Роман Иманкулов-«Быстрые и масштабируемые приложения с Sync API»Tanya Denisyuk

Работа с Git в команде Яндекс.Браузера — Алёна ЦарёваYandex

Docker в работе: взгляд на использование в Badoo через годBadoo Development

Горизонтальное масштабирование: что, зачем, когда и как /Александр Макаров (Y...Ontico

DDoS: Survival GuideHighloadLab

HighLoad весна 2014 лекция 5Technopark

Архитектура хранения фотографий в BadooBadoo Development

За счет чего Tarantool такой оптимальный / Денис Аникин (Mail.Ru)Ontico

Tendances (20)

Курс высокие нагрузки и надежность: отрывок

Управление контейнерами в облаках

Курс высокие нагрузки: очереди (отрывок)

HighLoad весна 2014 лекция 6

Курс высокие нагрузки: сеть (отрывок)

Lyamin press2015

HighLoad весна 2014 лекция 2

Максим Дунин, Nginx, Inc.

Профилирование Node.js

DNS в условиях хостинг-провайдера / Константин Новаковский (Selectel)

Защита веб-ресурса от DDoS-атак на примере нашего клиента - Rutracker.org

Вячеслав Бирюков - HTTP и HTTPS

Роман Иманкулов-«Быстрые и масштабируемые приложения с Sync API»

Работа с Git в команде Яндекс.Браузера — Алёна Царёва

Docker в работе: взгляд на использование в Badoo через год

Горизонтальное масштабирование: что, зачем, когда и как /Александр Макаров (Y...

DDoS: Survival Guide

HighLoad весна 2014 лекция 5

Архитектура хранения фотографий в Badoo

За счет чего Tarantool такой оптимальный / Денис Аникин (Mail.Ru)

Similaire à Опыт внедрения DNSSEC

Dnssec in UA - Talk at UAdom 2011Dmitry Kohmanyuk

Учет и управление IP-ресурсами сетиCisco Russia

Обзор Redis storage / Symfony Camp UA 2011Igor Brovchenko

So Your WAF Needs a Parseryalegko

Опыт разработки модуля межсетевого экранирования для MySQL / Олег Брославский...Ontico

Ускоряем и разгружаем веб-сервер, прозрачно кэшируя на SSD, Станислав Николов...Ontico

КриптографияValentin Gostyuzhov

Александр Соловьёв, Griddynamics.comOntico

Frontera: распределенный робот для обхода интернета в больших объемах - Алекс...it-people

Frontera обход испанского интернетаAlexander Sibiryakov

Обзор перспективных баз данных для highload / Юрий НасретдиновOntico

SQL Server 2012 Deep Dive (rus)Денис Резник

масштабируемый Sphinx кластер. вячеслав крюков. зал 1rit2011

Архивирование файловых и почтовых системКРОК

Wi-Fi Audit WorkshopKirill Murzin

Сложности и специфика построения систем раздачи адалт видео контентаUP2IT

Олег Анастасьев "Ближе к Cassandra". Выступление на Cassandra Conf 2013it-people

Andrew Pantyukhin P Nf Sv4guest092df8

Хранение файлов: защита, быстродействие, маштабированиеDellTeam

Similaire à Опыт внедрения DNSSEC (20)

Dnssec in UA - Talk at UAdom 2011

Учет и управление IP-ресурсами сети

Обзор Redis storage / Symfony Camp UA 2011

So Your WAF Needs a Parser

Опыт разработки модуля межсетевого экранирования для MySQL / Олег Брославский...

Ускоряем и разгружаем веб-сервер, прозрачно кэшируя на SSD, Станислав Николов...

Криптография

Александр Соловьёв, Griddynamics.com

Frontera: распределенный робот для обхода интернета в больших объемах - Алекс...

Frontera обход испанского интернета

Обзор перспективных баз данных для highload / Юрий Насретдинов

SQL Server 2012 Deep Dive (rus)

масштабируемый Sphinx кластер. вячеслав крюков. зал 1

Архивирование файловых и почтовых систем

Wi-Fi Audit Workshop

Сложности и специфика построения систем раздачи адалт видео контента

Олег Анастасьев "Ближе к Cassandra". Выступление на Cassandra Conf 2013

Andrew Pantyukhin P Nf Sv4

Хранение файлов: защита, быстродействие, маштабирование

Plus de Philipp Kulin

Разбор и сравнение данных в большом XML на маленькой VDSPhilipp Kulin

ENOG-14. Руководство оператора DNSSECPhilipp Kulin

ENOG-14. Ограничение доступа в РоссииPhilipp Kulin

Опыт использования IPv6 год спустяPhilipp Kulin

Как взломать WordPress/Joomla за 5 минутPhilipp Kulin

Опыт внедрения IPv6 и статистикаPhilipp Kulin

Внедрение IPv6Philipp Kulin

Хостинг-провайдер и противоправный контентPhilipp Kulin

перспективы черного спискаPhilipp Kulin

Plus de Philipp Kulin (9)

Разбор и сравнение данных в большом XML на маленькой VDS

ENOG-14. Руководство оператора DNSSEC

ENOG-14. Ограничение доступа в России

Опыт использования IPv6 год спустя

Как взломать WordPress/Joomla за 5 минут

Опыт внедрения IPv6 и статистика

Внедрение IPv6

Хостинг-провайдер и противоправный контент

перспективы черного списка

Опыт внедрения DNSSEC

1. Внедрение DNSSEC Филипп Кулин, phil@dreamless.ru 01.06.2013

2. Зачем DNSSEC • Цепочка доверия для записей от корневой зоны. • Предотвращение атаки «мужик посерёдке» • Вкусняшки: RR CERT, RR SSHFP, DANE

3. Принцип работы DNSSEC • Ключи ZSK и KSK задаются в записях типа DNSKEY зоны • Все наборы записей зоны подписываются ZSK (записи RRSIG) • Набор записей DNSKEY подписываются в том числе KSK • Хэш KSK передаётся родителю (запись DS)

4. Сложности внедрения • План ротации ключей и времён обновления подписи • Стыковка с регистратором • Проверка зоны и отзыв подписи • Действия с DNSSEC должны быть аккуратными и постоянно контролироваться

5. Сложности DNSSEC • Смена NS • Имеется тяжкое наследие. Путаница в документации. • Файл hosts и клиентское ПО • Метод блокировки сайтов через DNS….

6. DANE • Реализует цепочку доверия для сертификата, подтверждая его доменное имя. • Позволяет массово ввести HTTPS • Браузеры пока нет, exim – в разработке. • RFC 6698

7. Поддержка DNSSEC • Google Public DNS • Регистратор GoDaddy • Регистратор Directi НЕ поддерживает • RU/SU/РФ подписаны • Из наших регистраторов – пользователи «виртуального регистратора», частично RU-CENTER

8. ВОПРОСЫ? Филипп Кулин phil@dreamless.ru