ICANN vervangt met succes DNSSEC-sleutels
De ICANN, de organisatie die verantwoordelijk is voor het beheer van domeinnaamextensies, heeft het cryptografische sleutelpaar voor het DNSSEC-protocol vervangen. Dit staat ook wel bekend als de ‘roll-over’ van de root zone Key Siging Key (KSK). Het sleutelpaar vormt de basis van de hele DNSSEC-infrastructuur.
Het Domain Name System (DNS) is vergelijkbaar met het telefoonboek en vertaalt onder andere domeinnamen naar ip-adressen. DNSSEC is een verzameling extensies voor het DNS-protocol waarmee DNS-informatie digitaal wordt ondertekend en moet voorkomen dat internetgebruikers naar malafide website worden geleid.
Het vervangen van het sleutelpaar was spannend omdat het de eerste keer was dat de sleutel werd gewijzigd sinds DNSSEC in 2010 in gebruik werd genomen. Aanvankelijk zou het vervangen van de KSK op 11 oktober 2017 plaatsvinden, maar dat werd toen uitgesteld uit angst voor grote problemen voor veel internetgebruikers.
Volgens ICANN is nu alles voltooid met ‘minimale verstoring van het wereldwijde internet’. “Op het eerste gezicht lijkt er geen significant aantal internetgebruikers te zijn dat negatief wordt beïnvloed door het wijzigen van de sleutel”, aldus de ICANN.
Vanwege het geringe aantal klachten spreekt de organisatie van een succesvolle overgang naar de nieuwe Key Signing Key, ook wel bekend als KSK 2017. ICANN gaat nu verder met de volgende stap in het rollover-proces: het revoken van de oude KSK (KSK 2010). Dit zal plaatsvinden in het eerste kwartaal van 2019.
Dit forum wordt steeds meer een prullenbak van verdwaasde meningen.
https://www.sidnlabs.nl/a/weblog/a-successful-root-ksk-rollover-a-short-look-back?language_id=2
Aanschrijven ?
Niet dus - er bestaat geen adreslijst van beheerders van recursieve servers.
Het meten van hoe groot het probleem _zou kunnen worden_ heeft al de nodige moeite gekost.
"Aanschrijven" bestaat uit het posten van berichten in allerhande media - en de beheerders die je wilt bereiken zijn degenen die niks bijhouden.
Je zal er maar slachtoffer van worden.
Er is nu een nieuwe KSK naast de oude KSK.
volgens mij beginnen de eventuele problemen met de verwijdering van de oude KSK, want op dat moment zijn de certificaten die met de KSK getekend zijn ongeldig geworden.
Of mis ik iets?
Er is nu een nieuwe KSK naast de oude KSK.
volgens mij beginnen de eventuele problemen met de verwijdering van de oude KSK, want op dat moment zijn de certificaten die met de KSK getekend zijn ongeldig geworden.
Of mis ik iets?
Een KSK tekent geen certificaten, maar wordt gebruikt voor de RRSIG... zeg maar een handtekening zodat je weet dat de data niet is gemanipuleerd.
Er is nu een nieuwe KSK naast de oude KSK. Volgens mij beginnen de eventuele problemen met de verwijdering van de oude KSK
Het meest spannende moment qua mogelijke problemen is inmiddels achter de rug.
Het klopt dat de oude KSK nog in de root zone staat, maar hij 'doet' niets meer. De digitale handtekeningen over de zonefile worden sinds 11 oktober (16:00 UTC) gezet met de nieuwe KSK. Die overgang was dus spannend, want DNSSEC validerende resolvers die deze nieuwe KSK nog niet hadden opgepikt, konden vanaf dan problemen gaan geven. Schijnt bij een grote ISP in Ierland ook gebeurd te zijn, al zouden het ook ontzettend toevallige andere DNS-problemen geweest kunnen zijn.
Over een paar maanden - als alles goed gaat en die kans is bijna 100% - zal hij definitief verdwijnen. Een eventueel rollback noodscenario is dan onmogelijk geworden, vandaar dat ICANN ruim de tijd neemt.
Aanschrijven ?
Niet dus - er bestaat geen adreslijst van beheerders van recursieve servers.
Het meten van hoe groot het probleem _zou kunnen worden_ heeft al de nodige moeite gekost.
"Aanschrijven" bestaat uit het posten van berichten in allerhande media - en de beheerders die je wilt bereiken zijn degenen die niks bijhouden.
http://root-trust-anchor-reports.research.icann.org/rfc8145-addresses-that-have-reported-KSK-2010-only-at-least-once-since-2017-09-01.txt
De ASN's zijn aangeschreven die op hun beurt de eigenaren van de IP adressen hebben moeten aanschrijven.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?