Ko darīt, lai internets strādātu arī pēc 11.oktobra?

Vai esi gatavs DNSSEC saknes zonas atlsēgas maiņai? 2018.gada 11. oktobrī ICANN plāno mainīt domēna vārda sistēmas drošības paplašinājuma (DNSSEC) protokolā izmantoto kriptogrāfisko atslēgas “top” pāri, pazīstamu arī kā saknes zonas (.ROOT) KSK atslēga.

Šobrīd pasaulē aptuveni 25% jeb 750 miljoni interneta lietotāju izmanto DNSSEC validējošos atrisinātājus (resolver). Ja brīdī, kad vecā KSK atslēga tiks izņemta no zonas, šajos atrisinātājos nebūs jaunā atslēga, tad gala lietotāji, kuri izmanto šos atrisinātus, nevarēs piekļūt interneta resursiem.

Kas jādara?

Ir svarīgi, lai visi interneta pakalpojumu sniedzēji, kuri ir iespējojuši DNSSEC validāciju, atjaunina sistēmas ar jauno KSK-2017. Ja Jūsu programma:

A. ATBALSTA AUTOMĀTIKSU DNSSEC DROŠĪBAS ENKURU (TRUST ANCHOR) ATJAUNINĀŠANU (RFC 5011)

KSK atslēga tiks automātiski atjaunināta atbilstošā laikā. ICANN piedāvā testa sistēmu interneta operatoriem un citiem interesentiem, ar kuras palīdzību pārliecināties, ka viņu sistēma korekti apstrādā automatizēto atjaunināšanas procesu. Pārbaudiet, vai jūsu sistēmas ir gatavas, apmeklējot https://www.icann.org/resources/pages/ksk-rollover.

Jāpievērš uzmanība tām ierīcēm, kuras KSK maiņas laikā atradīsies bezsaistē un tiks pieslēgtas internetam pēc KSK maiņas - tās būs jāatjaunina manuāli.

B. NEATBALSTA VAI NEIZMANTO AUTOMĀTISKU DNSSEC DROŠĪBAS ENKURA ATJAUNINĀŠANU

Programmatūras drošības enkura fails ir jāatjauno manuāli. Jaunā saknes zonas KSK atslēga ir pieejama http://data.iana.org/root-anchors/.

Kādēļ KSK tiek mainīts?

Pirmā KSK atslēgas parakstīšanas ceremonija norisinājās 2010. gadā, un tās maiņa, līdzīgi kā paroles maiņa, ir svarīga drošības un piesardzības prakse.

KSK atslēga tiek mainīta galvenokārt, lai pārbaudītu ICANN, kā arī visu iesaistīto pušu sagatavotību “X stundai”, kāda var iestāties, piemēram, ja atslēga tiek atklāta. Šādā krīzes situācijā visām iesaistītajām pusēm ir jāzina, kā mainīt atslēgu.

KĀDĒĻ SĀKOTNĒJĀ SAKNES ZONAS ATSLĒGAS MAIŅA TIKA ATCELTA?

Sākotnēji saknes zonas KSK atslēgas atjaunošanas tika plānota 2017. gada 11. oktobrī, tomēr īsi pirms plānotā datuma ICANN to atlika, jo baidījās, ka daudziem interneta lietotājiem var rasties problēmas.

Lai saprastu, cik daudzi atrisinātāji ir uzstādīti izmantot jauno drošības enkuru, tika ieviests RFC 8145 (Signaling Trust Anchor Knowledge in DNS Security Extensions). Šis protokols ļauj validējošajiem atrisinātājiem informēt autoritatīvo serveri par savu drošības enkuru. Šī funkcija ir ļāvusi saknes servera operatoriem gūt ieskatu jaunās KSK atslēgas izplatībā. Sākotnējie dati par 2017. gada septembri uzrādīja, ka apmēram 4% no 12 000 DNSSEC validējošajiem atrisinātājiem izmantoja KSK-2010, nevis KSK-2017. Lai arī šis skaitlis šķiet relatīvi mazs, ICANN pieņēma lēmumu atlikt KSK atslēgas maiņu, pārcēla to uz 2018. gada 11. oktobri.

Plašāka informācija par KSK atslēgas maiņu (EN)