DNSSEC

---

• Етап 1 - тестування в домені другого рівня
• Етап 2 - генерація ключа DNSSEC для домену UA
• Етап 3 - публічний сервер для тестування підписаної копії домену UA
• Етап 4 - активація DNSSEC-ключа (KSK) для зони UA
• Етап 5 - включення запису DS (відбитка ключа) до кореневої зони
• Зміна розкладу ключів DNSSEC для UA

Етап 1 - тестування в домені другого рівня

2011-11-08
На четвертій майстерні IPv6 було згенеровано ключ для зарезервованого домену UA.UA.

Параметри ключа: алгоритм 10 (RSASHA512), кількість біт - 1984.

Публічний ключ домену UA.UA

ua.ua.  180 IN DNSKEY 257 3 10 (
   AwEAAdyLBVMXxqEngeXoOleXgQpBeB6L/Q39
   ThwY50QGOt/iNnIWN4qqb2KvsTP9fk4qyZwQ
   l5Zd+E5AEbuolKSER2KAB9dTjQ6anpowaCIi
   YdHZmcYmBQdoLsEUOYDLLJpjQeGuc0uH8/Ai
   s69TZx6kNUo5cCNjuXL/w4UNi5IQXgP1wkD+
   bTCj+isySHKbrceDUMyndSmeB8FqDe85gfwQ
   4xI0kEL9rOflyen+avSCLVXFuQtRA1KSKevP
   tUJ2+XynCBlQCCCBH1v3OQAOuNnsApHvw5Dv
   WQRTf7rM0fQWUcBGgdVdDLF+CKUgcZWiJiIA
   5Rl2Tr46Gidb
   ) ; key id = 25173

Відбиток цього ключа - запис DS:

ua.ua. IN DS 25173 10 2
7FD0FADF25BD474913B95E3298E52E4C1D5FFA365C3D756098AA1DC6984F7332

2011-12-01
Зона UA.UA підписана. Її ключі опубліковані в репозиторії ISC DLV

Етап 2 - генерація ключа DNSSEC для домену UA

2011-12-02
На конференції UAdom створено головний ключ DNSSEC (KSK) і допоміжний ключ (ZSK). Термін дії головного ключа - до 31 грудня 2014 року.

• Сценарій церемонії генерації ключів DNSSEC для домену .UA
• Протокол церемонії генерації ключів DNSSEC для домену .UA
• Видео церемонії генерації ключів DNSSEC для домену .UA

Відбиток ключа KSK:

ua. IN DS 56514 10 2
BDD7A310534F76B2B6B25C94F816F9B9F260A2E35F526A9287E3307FB2CD16D8

Етап 3 - публічний сервер для тестування підписаної копії домену UA

2012-02-07
На 5-й зустрічі "Майстерні IPv6" було представлено проєкт "Маяк" (Lighthouse)

Маяк являє собою публічний DNS-сервер lh.cctld.ua, на якому розміщена підписана копія домену .UA.

Сервер доступний за IP-адресами:

194.44.71.71 і 2001:7f8:55:7::71 (адрес IPv6)

Для того, щоб узяти участь у тестуванні, необхідно встановити програмне забезпечення, що розуміє підписи захищеного DNS. Наприклад, браузер Mozilla Firefox зі встановленою утилітою DNSSEC Validator. При цьому в налаштуваннях Resolver - Custom необхідно вказати IP-адресу Маяка.

Ввівши адресу http://www.ua можна побачити, що адреса захищена (зелений ключик перед рядком адреси). Перевірити роботу DNSSEC можна також, набравши в командному рядку.

dig www.ua +dnssec @lh.cctld.ua

Зміст у відповіді прапорця ad свідчить про те, що отримано відповідь, захищений DNSSEC.

Зауваження та відгуки про проєкт "Маяк" можна відіслати за адресою [email protected].

Етап 4 - активація DNSSEC-ключа (KSK) для зони UA

2012-03-27
Виконано публікацію ключа DNSSEC для .UA всередині самого домену .UA. Цей крок - передостанній перед включенням .UA до ланцюжка довіри DNSSEC.

Увесь ланцюжок довіри DNSSEC запрацює після публікації відбитка ключа .UA в кореневій зоні, яку веде організація IANA (ICANN).

Результат виконання команди dig, що містить текстове представлення записів DNSKEY.

Етап 5 - включення запису DS (відбитка ключа) до кореневої зони

2012-03-27
До кореневої зони системи доменних імен організацією ICANN було внесено запис про DNSSEC-ключ для домену .UA (так звані trust anchor.) Станом на 13.04.2012 у домені .ua підписано три домени другого рівня: rovno.ua, netassist.ua, та nic.ua (а також два службові: ua.ua, xn--mqa.ua).

Побудову ланцюжка довіри DNSSEC успішно завершено.

Зміна розкладу ключів DNSSEC для UA

2012-07-10
Під час сьомої Майстерні IPv6, було виконано автоматичну генерацію нового DNSSEC ключа типу ZSK для домену UA. Ключ було активировано о 15:31 за київським часом і використовуватиметься до 19 серпня 2012 року. Наступний ключ будет створено 10 серпня.

Новий розклад змінює цикл ротації (планової заміни) ключів зі щотижневого на щомісячний. Нагадую, що попередній розклад (щосереди створюється ключ, дійсний протягом десяти днів) діяло з моменту включення DNSSEC в UA у квітні 2012 року. За новим розкладом ключ створюється 10 числа місяця та використовується сорок днів (до 19 або 20 числа наступного місяця) - з перекриттям на 9 або 10 дней.