DnsSec

DNSSEC(una introducción)
David Carrasco
Héroes Certificados

¿Quées DNS?
Domain Name System
“Base de datos” distribuidapara resolver nombresjerárquicos
Variostipos de registros:
Dirección/Host (A)
Servidor de correoentrante(MX)
Texto(TXT)
¡MUCHOS MÁS!
Los registros se guardan en zonas
Altamenteescalable

.os.net
zona
.tempura.comida
.sushi.comida
ninjin.tempura.comida
win.os.net
kappa.sushi.comida
tamago.sushi.comida
unix.os.net
mac.os.net
Árbol DNS
.
raíz
dominio
.comida
.net
Primer nivel

Flujo de DNS
Administrador de Zona
Ficherode zona
Primario
Resolutor
Secundarios
ActualizacionesDinámicas
Resolutorexterno

Vulnerabilidades de DNS
Corrupción
Impersonar la caché
Impersonar al primario
Administrador de Zona
Ficherode zona
Primario
Resolutor
Secundarios
ActualizacionesDinámicas
Resolutorexterno
Polución de caché
falsificandodatos
Actualizacionesno autorizadas
Protecciónde Datos
Protección de Servidor

¿Porquéaparece DNSSEC?
DNSSEC protege ante la corrupción e intentos de tergiversarmaliciosamente los datos
DNSSEC tambiénproporcionamecanismos de autenticaciónpara los servidores y laspeticiones
DNSSEC escapaz de garantizarexistencia e integridad a los datos

PK-DNSSEC (Clave Pública)
Los servidores DNS firman el hash de grupos de registros (Resource Record Set - RRSet) con sus claves privadas.
Grupos de registros: Un grupoquecontienetodos los registros del mismotipo de la zona.
Se emplean claves públicasparaverificarlasfirmas.
La autenticidad de las claves públicas se establece a través de una firma (registro RRSIG) de las claves con la clave privada del servidor superior

¿Cómoextiende DNSSEC a DNS?
DNSSEC añadecuatroregistrosnuevos:
DNSKEY – Contiene la clave pública
RRSIG – Contiene la firma de los RRs
DS – Contiene el hash firmado de unazona
NSEC – Firma huecosparaasegurarsu no-existencia
En preparación:NSEC3
Mejoraría la privacidad

¿Cómose emplea DNSSEC?
Se firma la zona con la ZSK (firmadapor la KSK)
El servidorhaceunallamada con el bit DO activado al resolutorexternopreguntandopor un registro.
El resolutordevuelve el registro y el RRSIG vinculado.
El servidorconfirma el RRSIG con la DNSKEY y el DS de la cadenade autenticación.

¿Qué no hace DNSSEC?
Proporcionarconfidencialidad.
Proteger contra Denegación de Servicio.
Dar soporteparahorizontedividido.
Ser fácil de administrar.

¿Y quépasa con Windows?
Soportado en Windows Server 2008 R2.
Windows 7 es DNS Security Aware a través de su Name Resolution Policy Table (NRPT)
¿Una demo?

Recursos
RFC 4033 – 4034 – 4035 – 5155
Guía de DNSSEC para Windows Server 2008 R2
www.heroescertificados.es

¡Gracias!

http://www.elladodelmal.com	1054
http://elladodelmal.blogspot.com	109
http://www.slideshare.net	8
http://webcache.googleusercontent.com	1

DnsSec

by Chema Alonso on Jan 18, 2010

Accessibility

Categories

Tags

Upload Details

Usage Rights

4 Embeds 1,172

Statistics

DnsSec — Presentation Transcript