Mise en place du DNSSEC pour un domaine suisse avec des technologies standard

Introduction

DNSSEC permet de signer les enregistrements d'une zone, y compris les réponses négatives, sur la base d'un cryptosystème asymétrique dont la clé publique correspondante est publiée dans le DNS et signée par le domaine de niveau supérieur.

DNSSEC, c'est deux aspects:

• configurer un serveur de nom qui fait des requêtes récursives pour valider (vérifier les signatures) les données qu'il reçoit

• configurer une zone pour être signée

Ce document a pour but d'être un résumé pratique des étapes à effectuer, avec du logiciel standard (BIND9).

Configuration d'un serveur de nom pour faire des requêtes récursives validées

Principe de base: il faut insérer des clés (appelées des "trust anchors" ou liens de confiance) dans la configuration du serveur de nom. Ces liens de confiance sont simplement des clés publiques auxquelles on fait confiance (téléchargées puis vérifiées par un autre moyen: réseau de confiance GPG, certificat X.509, ...) et qui définiront l'équivalent d'un CA dans le monde X.509.

Attention: ces clés doivent être régulièrement mises à jour! C'est pour ça que la IANA met à disposition un dépôt.

Avec les versions récentes de BIND9, c'est automatique (avec dnssec-validation auto).

Ce serveur peut maintenant assurer que les zones dont la clé publique est connue (ou pour lesquelles une chaîne de confiance existe) seront validées.

Tester avec: host www.dnssec-failed.org

Configuration d'une zone signée

Désormais, avec BIND9 récent (Debian bookworm), il suffit de faire, pour le protocole CDS:

zone "a72.ch" {
   type master;
   file "/etc/bind/domains/a72.ch.zone";
   allow-transfer { secondaries_limited; };

   // https://kb.isc.org/docs/dnssec-key-and-signing-policy
   dnssec-policy "default";

   // https://nsrc.org/activities/agendas/en/dnssec-3-days/dns/materials/labs/en/dnssec-bind-inline-signing-howto.html
   // will not change the original zone nor need updatable zone
   inline-signing yes;
};

Après quelques jours, le registry NIC/CH va automatiquement activer le DNSSEC. Le registrar n'est impliqué que si configuration manuelle est nécessaire.

Le WHOIS montre alors DNSSEC: Yes

Les roll-over des clés devraient être automatiques.

Références

• https://www.nic.ch/export/shared/.content/files/SWITCH_CDS_Manual_en.pdf

• https://dnssec-debugger.verisignlabs.com/

• https://dnsviz.net/

-- MarcSCHAEFER - 14 Feb 2010