ICANN vervangt met succes DNSSEC-sleutels
De ICANN, de organisatie die verantwoordelijk is voor het beheer van domeinnaamextensies, heeft het cryptografische sleutelpaar voor het DNSSEC-protocol vervangen. Dit staat ook wel bekend als de ‘roll-over’ van de root zone Key Siging Key (KSK). Het sleutelpaar vormt de basis van de hele DNSSEC-infrastructuur.
Het Domain Name System (DNS) is vergelijkbaar met het telefoonboek en vertaalt onder andere domeinnamen naar ip-adressen. DNSSEC is een verzameling extensies voor het DNS-protocol waarmee DNS-informatie digitaal wordt ondertekend en moet voorkomen dat internetgebruikers naar malafide website worden geleid.
Het vervangen van het sleutelpaar was spannend omdat het de eerste keer was dat de sleutel werd gewijzigd sinds DNSSEC in 2010 in gebruik werd genomen. Aanvankelijk zou het vervangen van de KSK op 11 oktober 2017 plaatsvinden, maar dat werd toen uitgesteld uit angst voor grote problemen voor veel internetgebruikers.
Volgens ICANN is nu alles voltooid met ‘minimale verstoring van het wereldwijde internet’. “Op het eerste gezicht lijkt er geen significant aantal internetgebruikers te zijn dat negatief wordt beïnvloed door het wijzigen van de sleutel”, aldus de ICANN.
Vanwege het geringe aantal klachten spreekt de organisatie van een succesvolle overgang naar de nieuwe Key Signing Key, ook wel bekend als KSK 2017. ICANN gaat nu verder met de volgende stap in het rollover-proces: het revoken van de oude KSK (KSK 2010). Dit zal plaatsvinden in het eerste kwartaal van 2019.
Dit forum wordt steeds meer een prullenbak van verdwaasde meningen.
https://www.sidnlabs.nl/a/weblog/a-successful-root-ksk-rollover-a-short-look-back?language_id=2
Aanschrijven ?
Niet dus - er bestaat geen adreslijst van beheerders van recursieve servers.
Het meten van hoe groot het probleem _zou kunnen worden_ heeft al de nodige moeite gekost.
"Aanschrijven" bestaat uit het posten van berichten in allerhande media - en de beheerders die je wilt bereiken zijn degenen die niks bijhouden.
Je zal er maar slachtoffer van worden.
Er is nu een nieuwe KSK naast de oude KSK.
volgens mij beginnen de eventuele problemen met de verwijdering van de oude KSK, want op dat moment zijn de certificaten die met de KSK getekend zijn ongeldig geworden.
Of mis ik iets?
Er is nu een nieuwe KSK naast de oude KSK.
volgens mij beginnen de eventuele problemen met de verwijdering van de oude KSK, want op dat moment zijn de certificaten die met de KSK getekend zijn ongeldig geworden.
Of mis ik iets?
Een KSK tekent geen certificaten, maar wordt gebruikt voor de RRSIG... zeg maar een handtekening zodat je weet dat de data niet is gemanipuleerd.
Er is nu een nieuwe KSK naast de oude KSK. Volgens mij beginnen de eventuele problemen met de verwijdering van de oude KSK
Het meest spannende moment qua mogelijke problemen is inmiddels achter de rug.
Het klopt dat de oude KSK nog in de root zone staat, maar hij 'doet' niets meer. De digitale handtekeningen over de zonefile worden sinds 11 oktober (16:00 UTC) gezet met de nieuwe KSK. Die overgang was dus spannend, want DNSSEC validerende resolvers die deze nieuwe KSK nog niet hadden opgepikt, konden vanaf dan problemen gaan geven. Schijnt bij een grote ISP in Ierland ook gebeurd te zijn, al zouden het ook ontzettend toevallige andere DNS-problemen geweest kunnen zijn.
Over een paar maanden - als alles goed gaat en die kans is bijna 100% - zal hij definitief verdwijnen. Een eventueel rollback noodscenario is dan onmogelijk geworden, vandaar dat ICANN ruim de tijd neemt.
Aanschrijven ?
Niet dus - er bestaat geen adreslijst van beheerders van recursieve servers.
Het meten van hoe groot het probleem _zou kunnen worden_ heeft al de nodige moeite gekost.
"Aanschrijven" bestaat uit het posten van berichten in allerhande media - en de beheerders die je wilt bereiken zijn degenen die niks bijhouden.
http://root-trust-anchor-reports.research.icann.org/rfc8145-addresses-that-have-reported-KSK-2010-only-at-least-once-since-2017-09-01.txt
De ASN's zijn aangeschreven die op hun beurt de eigenaren van de IP adressen hebben moeten aanschrijven.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
