DNSSEC
Objetivo
• Implementar o DNSSEC no servidor
autoritativo para o domínio redes.br.
– Assinatura digital das informações da zona.
– Utiliza o conceito de chaves assimétricas.
– Integridade e autenticidade.
DNSKEY
• É a chave pública de uma zona.
Exemplo de consulta DNSKEY
RRSIG
• É a assinatura de um RRset específico com
uma determinada chave (DNSKEY).
• RRset é o conjunto de registros de uma zona.
DS – Delegação Signer
• O Record DS forma uma cadeia de confianca.
• Esta garante a autenticidade das delegações
de uma zona até um ponto de confiança (uma
chave ancorada).
Funcionamento
• RRsets são assinados com a chave privada da
zona, gerando os RRSIGs.
• A chave pública é usada para verificar a
assinatura dos RRsets.
• A autenticidade da chave é verificada pelo
registro DS assinado na zona PAI.
DS – Delegação Signer
• Representa um hash de um registro DNSKEY.
• Indica:
– Que a zona delegada está assinada.
– Qual a chave usada na zona delegada.
• A zona PAI possui autoridade pelo registro DS
das zonas delegadas.
• O registro DS não deve aparecer no FILHO.
Gerando as chaves
• Antes de poder assinar a zona redes.br, devemos gerar
o par de chaves (pública e privada).
• Para isso usamos o comando abaixo, mas antes, crie
um diretório para armazená-las.
mkdir chaves
cd chaves
dnssec-keygen -r /dev/urandom -f KSK –a RSASHA1 -b 1024 -n ZONE redes.br
• O comando irá gerar dois arquivos com extensões .key
e .private.
Argumentos
-r Especifica a origem da semente randômica.
-f Configura o flag que foi especificado no
campo flag da chave pública incluida na zona
(DNSKEY).
-a Seleciona o algoritmo de criptografia.
-b A quantidade de bits da chave.
-n Especifica o tipo de chave. Em nosso caso,
iremos gerar uma chave para assinar uma zona.
Adicionando a chave pública para a
zona
• Para isto podemos usar o comando cat.
cat chaves/*.key >> redes.br.direto
Assinando a zona
• Use o comando:
dnssec-signzone –S –z –o redes.br redes.br.direto
• O comando irá gerar um novo arquivo de zona com a
extensão .signed.
• Seu período de validade é de 30 dias.
Named.conf
• Altere a referência para o arquivo de zona que
passa a ser redes.br.direto.signed.