DNSSEC - Sécuriser votre DNS

Vocabulaire

• arbres, zones ...
• resolver, cache, authoritative, forwarder ...

Organisation

• Whois, délégations ...

Protocole

• RRSet, entêtes, couche de transport et EDNS
• Problèmes liés aux pare-feux

Les RR

• A, PTR, SOA, NS, MX, SPF, CNAME, AXFR, IXFR ...

Fonctionnement interne

• bootstrap, TLD, reverse, récursion/itération, glue records

Les couches logicielles

• libresolv, nsswitch, cache ...
• Alternatives à BIND

BIND : présentationOutils sur le DNS

• zonecheck, dig, revhosts, named-checkzone/conf ...

Ressources

• Bv9ARM (html)

Configuration

• Options globales, déclaration de zones

Fichiers de zone

• Fichier de zone, réplications, reverse

Sécurité

• Corruption de zone, dynamic updates
• Problème des caches (spoofing, usurpation)
• Canaux cachés
• Fuite d'information DNS public/privé

Durcissement de BIND

• Niveau process
• Niveau configuration (contrôle d'accès, journalisation)
• Vues
• Introduction DNSSEC

Objectifs et limites

• Objectifs, ce que DNSSEC ne fait pas, les problèmes apportés par DNSSEC

Rappels sur la cryptographie symétrique / asymétriqueProtocole

• "DO" flag et couche de transport (EDNS)
• Problèmes liés aux pare-feux

TSIF/SIG0
RFC 4033-35

• DNSKEY,
• RRSIG,
• NSEC

Créer une zone

• dnssec-keygen,
• -signzone,
• named-checkzone/conf

Configurer le resolver
Vérifier avec dig
Debug
Délégation
DS
Renouvellement de clés

• Root zone
• Domaines de premier niveau (.se, ...)
• Infrastructure privée