Původní DNS CZ.NIC definitivně končí

Původní DNS servery validující DNSSEC už skutečně končí. Datum ukončení bylo odsunuto z důvodů situace zapříčiněné koronavirem COVID-19. Nicméně nyní přichází moment přesunu na nové DNSSEC validující resolvery. Rozhodným datem je čtvrtek 25. června 2020.

 

„Velice rád bych ještě jednou vyzval všechny, kteří dosud nezměnili nastavení svých systémů, aby tak učinili co nejdříve. Zkontrolujte si prosím, zda jako DNS resolver nevyužíváte IP adresy starého ODVR unicastu 217.31.204.130, 2001:1488:800:400::130,“ upozorňuje uživatele Zdeněk Brůna, CTO sdružení CZ.NIC.

Původní DNS resolvery provozovalo CZ.NIC přes deset let na IP adresách 1) protokolu IPv4: 217.31.204.130 a 193.29.206.206; 2) protokolu IPv6: 2001:1488:800:400::130 a 2001:678:1::206. Tyto DNS servery využívají a znovu budou využívat technologie DNSSEC, která poskytuje uživatelům jistotu, že informace, které z DNS získal, byly poskytnuty správným zdrojem, jsou úplné a jejich integrita nebyla při přenosu narušena, říká CZ.NIC.

DNSSEC

DNSSEC zabezpečuje komunikací pomocí opakované výměny šifrovacích klíčů a pomocí šifrování mezi poskytovatelem DNS a doménou. CZ.NIC to rozvádí: 

„DNSSEC zavádí DNS asymetrickou kryptografii – tedy používání jednoho klíče na zašifrování a jiného klíče na dešifrování obsahu. Obdobný princip je základem známějšího šifrování zpráv pomocí PGP či podepisování e-mailů elektronickým podpisem. V případě DNSSEC si držitel domény vygeneruje dvojici soukromého a veřejného klíče. Svým soukromým klíčem pak elektronicky podepíše technické údaje, které o své doméně do DNS vkládá. Pomocí veřejného klíče je pak možné ověřit pravost tohoto podpisu.

Aby byl tento klíč dostupný všem, publikuje jej držitel ke své doméně u nadřazené autority, kterou je pro všechny domény .cz registr domén .cz. I na úrovni registru domén .cz jsou technická data v DNS podepsána a veřejný klíč k tomuto podpisu je opět správcem registru předán nadřazené autoritě. Vytváří se tak řetěz, který zajistí důvěryhodnost údajů, pokud není v žádném svém článku porušen, a všechny elektronické podpisy souhlasí.“

Nové otevřené DNSSEC validující resolvery

Šifrování DNS: DNS-over-TLS a DNS-over-HTTPS

ODVR (otevřené DNSSEC validující resolvery), které nahradí ty stávající, poskytnou krom DNSSEC zabezpečení i možnost zabezpečení samotného procesu překladu domén šifrováním, a to sice technologiemi DNS-over-TLS a DNS-over-HTTPS. 

DNS-over-HTTPS se aktuálně dostává hodně pozornosti široké internetové komunity, což ústí v to, že běží přímo v prohlížečích, testuje se v přípravných buildech Windows a k jejímu zprovoznění není třeba žádného třetího nástroje. Běží na portu TCP/443 a fakticky funguje tak, jak její jméno napovídá: veškerá komunikaci v systému překladu názvu domén se odehrává přes zašifrovaný HTTPS protokol. DNS-over-TLS chrání komunikaci mezi klientem a DNS resolverem TLS šifrováním, naslouchá na portu TCP/835. Je ovšem třeba využít lokální instalace místního resolveru, kupř. softwaru Stubby.

Lokalizace na území České republiky

Nejen pár milisekund k dobru, ale třeba i stejný osud v rámci politických rozhodnutí budou důsledkem toho, že nové ODVR jsou umístěny pouze na území ČR. Situaci i její důvody komentuje Václav Steiner, vedoucí systémových administrátorů CZ.NIC:

„Nové servery jsou nyní umístěny “pouze“ ve všech našich datacentrech v České republice. Zahraniční instance jsme v této chvíli nezprovozňovali, protože objem provozu mimo ČR není příliš významný. Na následujícím grafu je navíc patrná klesající poptávka v posledních dvou letech (jedná se o procentuální zastoupení z celkového počtu požadavků) po ODVR resolverech ze zahraničních lokalit. Jakmile se tento trend podle našich statistik provozu otočí, jsme připraveni servery spustit i ve významných zahraničních lokalitách.“

Knot Resolver: nový software nových resolverů

Další výhodou nových ODVR je nový software použitý pro nové ODVR, a to sice KNOT Resolver vyvíjený sdružením CZ.NIC. Krom šifrováním DNS procesu podporuje např. technologii anycastu. 

IP adresy nových ODVR CZ.NIC

Které IP adresy máte nově použít?

1. IP adresy DNS resolverů pro protokol IPv4
   • 193.17.47.1
   • 185.43.135.1
2. IP adresy DNS resolverů pro protokol IPv6
   • 2001:148f:ffff::1
   • 2001:148f:fffe::1

Zdroje: CZ.NIC

 

Daniel Beránek, 22.06.2020 12:59

 

 

 

	Spotify nabídne AI playlisty Spotify rozšiřuje hranice personalizované hudby zaváděním AI playlistů, což je beta funkce umožňující Premium uživatelům ve Spojeném království a Austrálii transformovat jakýkoliv nápad na perfektně na míru šitý playlist. Díky...
	Microsoft a OpenAI postaví datacentrum se superpočítačem za 100 mld. USD Microsoft a OpenAI chystají postavit datacentrum se superpočítačem za 100 miliard dolarů. Ambiciózní projekt, známý jako Stargate, slibuje posunout hranice toho, co je možné v datovém zpracování a umělé inteligenci. S plánovaným spuštěním...
	Google zvažuje zpoplatnění AI vyhledávání Svět technologií je opět v pohybu, přičemž gigant Google vážně uvažuje o zásadním kroku - zpoplatnění pokročilých funkcí vyhledávání, které využívají umělou inteligenci (AI). Takovýto krok by mohl změnit základy toho, jak...
	Opera to s AI míní vážně. Nyní nabízí lokální LLMs Opera se snaží co nejvíce využít vlnu AI. Nabízí nejen vlastní AI asistentku Ariu, ale jejím prostřednictvím i spoustu dalších funkcí. Nyní přichází s podporou lokálně spustitelných velkých jazykových modelů, což...