Actuele aanbevelingen DNSSEC-algoritmen voortaan centraal bij IANA gepubliceerd
Doel is eenduidige referenties en snellere updates
De aanbevelingen voor de cryptografische algoritmen van het DNSSEC-protocol verhuizen uit de RFC's naar het IANA-register. Een voorstel hiertoe wordt binnenkort zelf gepubliceerd als RFC.
De belangrijkste reden voor deze aanpassing is dat het hiermee makkelijker wordt om naar de meest recente aanbevelingen te refereren. Bovendien kunnen de aanbevelingen zo sneller geüpdatet worden.
Tot nu toe worden de aanbevelingen voor de toepassing, ondersteuning en implementatie van de cryptografische DNSSEC-algoritmen gepubliceerd als integraal onderdeel van een RFC. De laatste officiële aanbevelingen vinden we in RFC 8624, die we in een eerder gepubliceerd artikel uitgebreid behandelen.
Inmiddels is er een update op deze RFC in de maak, waarmee alle DNSSEC-algoritmen gebaseerd op de verouderde SHA-1 hashfunctie uitgefaseerd worden.
Centraal register
Het nieuwe voorstel (nu nog met de werknaam 'rfc8624 bis') wil de aanbevelingen uit de RFC's naar het IANA-register verhuizen. Concreet gaat het om de aanbevelingen zoals die in de secties 3.1 (DNSKEY-algoritmen) en 3.2 (DS-algoritmen) van RFC 8624 worden gedaan. De 2 tabellen die je daar vindt, moeten dus naar het IANA-register verplaatst worden.
Kijken we naar de huidige DNSSEC-tabellen bij IANA [DNSKEY, DS], dan zien we dat deze nu niet veel meer zijn dan een opsomming van nummers, namen en statussen (dat laatste alleen voor de DS-algoritmen). In de toekomst moeten de aanbevelingen uit de tabellen van de RFC dus aan deze tabellen in het IANA-register worden toegevoegd. Toekomstige RFC's (en andere documenten) kunnen dan altijd naar deze tabellen refereren als zijnde de meest recente aanbevelingen.
Laatste (conservatieve) inzichten
Updates op deze aanbevelingen zullen gewoon als RFC gepubliceerd blijven worden en steeds in deze tabellen worden verwerkt. Dergelijke updates vinden nu eens in de paar jaar plaats. In de loop der tijd vallen immers bestaande algoritmen af (deprecated, want verouderd of onveilig) en komen er nieuwe algoritmen bij [1].
Doel van de aanbevelingen is uiteraard om te zorgen dat domeinnaamhouders en operators van autoritatieve nameservers naar de laatste (maar wel conservatieve) inzichten het meest veilige en efficiënte algoritme gebruiken, en dat validerende resolvers de daadwerkelijk toegepaste algoritmen ook ondersteunen (interoperabiliteit). Software-bouwers op hun beurt moeten zorgen dat verouderde en onveilige algoritmen uitgefaseerd worden (zodra de marktsituatie dat toestaat), en dat nieuwe algoritmen op tijd beschikbaar zijn voor hun gebruikers.
Formele vorm en inhoud
De vorm en inhoud van de tabellen in het IANA-register zijn echter een nogal formele aangelegenheid. Het voorstel 'rfc8624 bis' wil de volgende kolommen aan de bestaande tabellen toevoegen:
DNSKEY-algoritmen:
Use for DNSSSEC Signing
Use for DNSSSEC Validation
Implement for DNSSSEC Signing
Implement for DNSSSEC Validation
DS-algoritmen:
Use for DNSSSEC Delegation
Use for DNSSSEC Validation
Implement for DNSSSEC Delegation
Implement for DNSSSEC Validation
De eerste 2 kolommen zijn steeds bedoeld voor respectievelijk domeinnaamhouders/operators en DNS-dienstverleners. De laatste 2 kolommen zijn bedoeld voor ontwikkelaars van respectievelijk autoritatieve nameservers en validerende resolvers.
De aanbevelingen zelf kunnen de waarden 'MUST', 'MUST NOT', 'REQUIRED', 'SHALL', 'SHALL NOT', 'SHOULD', 'SHOULD NOT', 'RECOMMENDED', 'NOT RECOMMENDED', 'MAY' en 'OPTIONAL' krijgen. De formele betekenis van deze waarden is weer gedefinieerd in RFC 2119.
Actuele aanbevelingen
In de secties 3 en 4 van 'rfc8624 bis' vind je de volledige, actuele tabellen zoals die volgens het voorstel in het IANA-register moeten worden opgenomen. Waar dat voor domeinnaamhouders/operators op neerkomt is dat voor DNSKEY nummer 8, nummer 13 en nummer 15 in principe gebruikt kunnen worden. Wij raden nu echter iedereen aan om algoritme 13 toe te passen, iets dat wij zelf ook doen in de .nl-zone.
Voor het DS-algoritme wordt alleen nummer 2 nog aangeraden. Houders van .nl-domeinnamen hebben hier echter geen omkijken naar: Omdat wij houders niet om een DS-record maar om het DNSKEY-record vragen, genereren wij daaruit zelf al vanaf het begin een DS-record gebaseerd op algoritme nummer 2.
Meer informatie over de verschillende algoritmen en aanbevelingen vind je in onze DNSSEC FAQ.