DNSSEC v2

My second talk about DNSSEC at the Netz39 hackerspace.

Transcript

1. DNSSEC von Andreas Pfohl
2. Überblick • Wiederholung DNS • Was ist DNSSEC? • Was kann ich mit DNSSEC machen? • Was sind die Probleme von DNSSEC? • Was muss ich tun, um DNSSEC zu nutzen?
3. • Domain Name System • Namensauflösung • Zone Records DNS
4. Namensauflösung - DNS www.netz39.de. 78.46.22.20
5. Records - DNS netz39.de. A 78.46.22.20 netz39.de. MX 10 mail netz39.de. NS ns1.domain… mail A 78.46.22.20 www CNAME @
6. DNSSEC • DNS Security Extensions • Authentizität • Integrität
7. Man in the Middle - DNSSEC Client Nameserver Provider netz39.de.? netz39.de.? 78.46.22.20 17.142.160.59
8. Key Man in the Middle - DNSSEC Client Nameserver Provider netz39.de.? netz39.de.? 78.46.22.20 + Signatur 17.142.160.59 + Signatur Key failed
9. Schlüssel - DNSSEC • Public Key Cryptography • Zone-Signing-Key • Key-Signing-Key • Chain of Trust
10. Chain of Trust - DNSSEC . ZSK DS com. KSK ZSK DS example.com. KSK ZSK Trust Anchor KSK KSK A
11. Anwendungen • Sicherer Verbindungsaufbau • Mail Exchange • SSH Fingerprints • GnuPG Schlüssel • DANE
12. Mail - Anwendungen • MX Record • Mailserver gehört zur Domain
13. SSH - Anwendungen • SSHFP Record • Korrekte SSH-Keys • Überprüfung bei Verbindungsaufbau
14. GnuPG - Anwendungen • OPENPGPKEY Record • Public-Keys im DNS • Domain-Verifizierung
15. DANE - Anwendungen • DNS-based Auth. of Named Entities • TLSA Record • Fingerprints von Zertifikaten • Zertifikat gehört zu Server/Port
16. Probleme • Denial of Service Angriffe • DNS Amplification Attacks • Zone Walking • Verifizierung
17. Probleme • Root-Key von USA verwaltet • Hohe Fehlerrate bei Implementierung • Schwer zu verstehen • Alte Kryptographie
18. Voraussetzungen • Registrar unterstützt DNSSEC • Registrar trägt DS-Records ein • Eigene Domain • Eigene Nameserver
19. OwnDNS.io • Eigene Experimentier-Domain • i-use-my@owndns.io • Besseres Verständnis des DNS • Verbreitung von DNSSEC • Tutorials
20. Workshop • September 2015 • Eigener Nameserver • Eigene Domain • DNSSEC
21. Danke E-Mail: andreas@netz39.de Twitter: @andreaspfohl