Возможность изменения шифрования BIND9

Question

Я работаю над тем, чтобы найти идеи для проекта последнего года обучения по моей специальности. Одна из идей, предложенных лектором о том, что он будет заинтересован в надзоре, - это исследование применения ID-encyption для защиты DNS. Из своего предварительного исследования я склоняюсь к проекту, в рамках которого я пытаюсь жениться на DNSSEC с этим стандартом шифрования.

Моя идея заключалась в том, что я мог бы использовать простые уровни DNS BIND9, за исключением DNSSEC, и построить поверх них настроенную схему, аналогичную DNSSEC. Вероятно, мне придется изменить и части библиотеки, чтобы использовать функции RFC 2535, такие как KEY и SIG RRsets, с моей новой схемой. Или, возможно, лучший подход - отредактировать, как DNNSEC реализован в библиотеке, и попытаться вырвать OpenSSL и заменить его хуками в моей собственной библиотеке мини-шифрования? Кто-нибудь имел опыт работы с библиотекой BIND, который мог бы сказать мне, насколько это плохой подход, как библиотека поддается расширению и т. Д .?

Answer 1

Пожалуйста, уточните, имеете ли вы в виду «безопасность DNS»:

1. криптографически подпись содержимое отдельного сообщения DNS (на транспортном уровне) или
2. криптографически шифрование содержимое отдельного сообщения DNS или
3. криптографически подписывающая DNS-зона данные , чтобы ее нельзя было подделать

Три функции более или менее полностью ортогональны.

TSIG делает первое - он предотвращает изменение отдельного пакета во время его передачи и работает только с hop to hop .

DNScurve выполняет второе и, следовательно, неявно первое тоже (поскольку при изменении пакета дешифрование не будет работать), но оно не стандартизировано. Это интересная идея, но она очень далека от любого значительного развертывания.

DNSSEC выполняет только последнюю из трех. Он предназначен для предоставления сквозного криптографического доказательства того, что данные, полученные DNS-клиентом, идентичны данным, содержащимся на полномочном сервере, независимо от того, сколько было задействовано рекурсивных преобразователей.

На странице Википедии шифрование на основе идентификаторов, по-видимому, относится к защите сообщений между двумя сторонами, а не к подписанию данных . Если это так, он ближе к TSIG или DNScurve, чем к DNSSEC.