-
Notifications
You must be signed in to change notification settings - Fork 4
/
04 DNS.html
785 lines (559 loc) · 30.1 KB
/
04 DNS.html
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
254
255
256
257
258
259
260
261
262
263
264
265
266
267
268
269
270
271
272
273
274
275
276
277
278
279
280
281
282
283
284
285
286
287
288
289
290
291
292
293
294
295
296
297
298
299
300
301
302
303
304
305
306
307
308
309
310
311
312
313
314
315
316
317
318
319
320
321
322
323
324
325
326
327
328
329
330
331
332
333
334
335
336
337
338
339
340
341
342
343
344
345
346
347
348
349
350
351
352
353
354
355
356
357
358
359
360
361
362
363
364
365
366
367
368
369
370
371
372
373
374
375
376
377
378
379
380
381
382
383
384
385
386
387
388
389
390
391
392
393
394
395
396
397
398
399
400
401
402
403
404
405
406
407
408
409
410
411
412
413
414
415
416
417
418
419
420
421
422
423
424
425
426
427
428
429
430
431
432
433
434
435
436
437
438
439
440
441
442
443
444
445
446
447
448
449
450
451
452
453
454
455
456
457
458
459
460
461
462
463
464
465
466
467
468
469
470
471
472
473
474
475
476
477
478
479
480
481
482
483
484
485
486
487
488
489
490
491
492
493
494
495
496
497
498
499
500
501
502
503
504
505
506
507
508
509
510
511
512
513
514
515
516
517
518
519
520
521
522
523
524
525
526
527
528
529
530
531
532
533
534
535
536
537
538
539
540
541
542
543
544
545
546
547
548
549
550
551
552
553
554
555
556
557
558
559
560
561
562
563
564
565
566
567
568
569
570
571
572
573
574
575
576
577
578
579
580
581
582
583
584
585
586
587
588
589
590
591
592
593
594
595
596
597
598
599
600
601
602
603
604
605
606
607
608
609
610
611
612
613
614
615
616
617
618
619
620
621
622
623
624
625
626
627
628
629
630
631
632
633
634
635
636
637
638
639
640
641
642
643
644
645
646
647
648
649
650
651
652
653
654
655
656
657
658
659
660
661
662
663
664
665
666
667
668
669
670
671
672
673
674
675
676
677
678
679
680
681
682
683
684
685
686
687
688
689
690
691
692
693
694
695
696
697
698
699
700
701
702
703
704
705
706
707
708
709
710
711
712
713
714
715
716
717
718
719
720
721
722
723
724
725
726
727
728
729
730
731
732
733
734
735
736
737
738
739
740
741
742
743
744
745
746
747
748
749
750
751
752
753
754
755
756
757
758
759
760
761
762
763
764
765
766
767
768
769
770
771
772
773
774
775
776
777
778
779
780
781
782
783
784
785
<html>
<head>
<meta charset="utf-8">
<meta name="viewport" content="width=device-width, initial-scale=1.0">
<link rel="stylesheet" href="css/reveal.css">
<link rel="stylesheet" href="css/theme/white.css">
<style type="text/css">.reveal p { text-align: left; }</style>
<style type="text/css">.reveal blockquote { font-size: 50%; }</style>
<style type="text/css">.reveal table { font-size: 75%; }</style>
<style type="text/css">.reveal p img { border: 0px; }</style>
</head>
<body>
<div class="reveal">
<div class="slides">
<section data-markdown>
# Имена в Интернете
## Domain Name System
Протоколы Интернет, лекция 4
</section>
<section data-markdown>
### План
> Самое красивое всегда недоступное
* Регистрация доменов
* Internationalized Domain Names
> Но теперь, когда мы наконец увидели друг друга, предлагаю тебе сделку: я поверю в тебя, если ты поверишь в меня. По рукам?
* Проблемы и атаки на DNS
* Основы криптографии
* DNSSEC
</section>
<section data-markdown>
### Элизабет «Джейк» Фейнлер
> Алло, Джейк, хочу зарегистрировать себе доменное имя symbolic.com, с меня шоколадка.
[habr.com/ru/post/277913](https://habr.com/ru/post/277913/)
</section>
<section data-markdown>
### Регистрация доменов
Административная часть
* Заключение договора
* Оплата
* Статус в WHOIS: REGISTERED
Техническая часть
* Рекомендовано не менее 2 серверов DNS в разных сетях
* Статус в WHOIS: DELEGATED
</section>
<section data-markdown>
### Регистрация доменов
Зоны RU и РФ
* [cctld.ru](http://cctld.ru/) - АНО «Координационный центр национального домена сети интернет»
* [tcinet.ru](https://tcinet.ru) - подведомственная КЦ организация «Технический центр интернет» (ТЦИ)
Аккредитованные регистраторы
* [RU-CENTER](https://nic.ru)
* [REG.RU](https://reg.ru),
* [R01](https://r01.ru),
* и другие
</section>
<section data-markdown>
### Цена вопроса
За каждый домен регистратор ежегодно перечисляет ТЦИ 120 руб (RU, РФ)
Цена для клиента сейчас — около 1000 руб/год.
Нашли дешевле? Проверьте тарифы на продление!
Дешевле всего - местный [Netangels](https://www.netangels.ru/domains/),
200 руб/год.
</section>
<section data-markdown>
### Техническая реализация
Проще всего делегировать ваш домен на серверы
[Яндекс](https://connect.yandex.ru/pdd/),
[MAIL.RU](https://biz.mail.ru/) и др.
Обычно это дополнение к хостингу почты
Если будете настраивать самостоятельно, проверьте настройки
* [dnssy.com](https://www.dnssy.com/), DNS Test and Check - Free DNS Report
* [dnsinspect.com](https://www.dnsinspect.com/) - DNS Inspect
* Есть и другие, но платные :(
</section>
<section data-markdown>
## Интернационализован­ные доменные имена
</section>
<section data-markdown>
### Что это и зачем
Бизнес - продвижение торговых марок
Имена DNS ограничены алфавитом a-z, 0-9, -.
Транслитерация неочевидна
Все красивые имена быстро оказываются заняты
Потребность в расширении алфавита до Unicode
IDN - доменные имена, которые содержат символы национальных алфавитов:
напр., урфу.рф, екатеринбург.рф
</section>
<section data-markdown>
### Новый DNS ?
Проектировать новую систему DNS - долго.
Сравните, сколько на Ipv6 переходят
Приняли вариант преобразования имен Unicode в имеющийся алфавит
Преобразованием занимается не resolver, а приложение
Поэтому IDNA - Internationalized Domain Names in **Applications**
</section>
<section data-markdown>
## Варианты решения
Преобразовывать имена, содержащие символы национальных алфавитов, в слова, состоящие только из допустимых ранее в DNS символов
Делать это в клиентских приложениях
Для поддержки IDN достаточно, чтобы их понимал браузер пользователя
Ваши предложения?
</section>
<section data-markdown>
### Вариант: hex-запись
```
$ echo -n урфу | xxd -p
d183d180d184d183
```
проблемы
* 1 символ Unicode - обычно 2 байта, т.е. 4 hex
* 63 символа в имени DNS => не более 15 символов Unicode
* санкт-петербург - уже не влезет
</section>
<section data-markdown>
### Вариант: BaseXX
RFC 4648 - The Base16, Base32, and Base64 Data Encodings
Часто встречающийся вариант преобразования
* есть ограниченный канал связи
* надо преобразовать исходный набор «плохих» байтов
* в набор «хороших» байтов из алфавита меньшей мощности
</section>
<section data-markdown>
### BaseXX
Есть исходная цепочка байт «расширенного алфавита» и «простой алфавит»
Идея работы:
* $base = |Простой Алфавит|$, $b = log_2(base)$
* записать исходные байты как цепочку бит
* последовательно отбирать из исходной цепочки не более $b$ бит
* полученное число записывать одним символом простого алфавита
</section>
<section data-markdown>
### Пример: Base64
Простой алфавит
| символы | код |
|-- |-- |
|A-Z | 0-25 |
|a-z | 26-51 |
| 0-9 | 52-61 |
| + / | 62,63 |
$base = 64$, $b = log_2(64) = 6$
</section>
<section data-markdown>
### Пример: Base64
Исходный текст
«Этоя» (cp-1251)
```
Э | т | о | я
11011101 11110010 11101110 11111111
```
* удобно группировать исходные байты по 3
* получается 24 бит
* это ровно 4 группы по 6 бит
```
исх.биты: 11011101 11110010 11101110
по 6 бит: 110111 011111 001011 101110
кодируем: 3 (55) f (31) L (11) u (46)
исх.биты: 11111111 (закончились, добиваем 0)
по 6 бит: 111111 110000 000000 000000
кодируем: / w = = (спецсимвол)
```
</section>
<section data-markdown>
### Пример: Base64
Проверяем:
```
$ echo -n "Этоя" | iconv -t windows-1251 | base64
3fLu/w==
```
Base64 позволяет передавать любую бинарную информацию по протоколам (каналам связи),
в которых ограничен алфавит
Увеличение общего количества байт примерно на 33% от исходного
Пример использования: электронная почта
</section>
<section data-markdown>
### Пример: ASCII85
Более экзотический пример:
[ASCII85](https://ru.wikipedia.org/wiki/ASCII85)
0-9, A-Z, a-z, !#$%&()*+-;<=>?@^_`{|}~
Увеличение объема примерно 25%
(5 байт из 4 исходных)
RFC 1924 A Compact Representation of IPv6 Addresses
```
=r54lj&NUUO~Hi%c2ym0
```
</section>
<section data-markdown>
### Реализация в IDNA
Особенность доменов на национальных языках - коды символов расположены рядом
2 версии стандарта ([FAQ](https://unicode.org/faq/idn.html))
* IDNA2003 - RFC 3490-3491
* IDNA2008 - RFC 5890-5895
Ключевые вещи одинаковые
- RFC 3492 Punycode: A Bootstring encoding of Unicode for IDNA
- ACE (ASCII-compatible encoding) prefix
</section>
<section data-markdown>
### Code point
Code point (позиция кода) - целочисленное значение в пространстве набора символов
В Unicode - числа от 0 до 0x10FFFF
LDH code points = letters, digits, hyphen
* ASCII letters(0041..005A, 0061..007A)
* digits (0030..0039)
* hyphen-minus (U+002D)
</section>
<section data-markdown>
### IDNA labels
Формы имён доменов
* U-labels, Unicode (native character) form, «расширенный алфавит»
- нормализованная форма (NFC)
- по крайней мере один не-ASCII символ
- ограничения на используемые символы
* A-labels, ACE-encoded form, «простой алфавит»
- cпециальная форма имён DNS (LDH) вида
```
xn--РезультатКодирования
```
- в RFC 5890 - свойства А-меток
</section>
<section data-markdown>
### Punycode
RFC 3492
Punycode - экземпляр более общего алгоритма Bootstring с параметрами, настроенными на IDNA
Bootstring - однозначное представление произвольной последовательности кодовых позиций «расширенного алфавита» в кодовые позиции «простого алфавита»
* extended string / code points
* basic string / code points
</section>
<section data-markdown>
### Особенности Bootstring
* Полнота - каждая расширенная строка может быть представлена простой строкой
* Уникальность - существует не более одной простой строки, которая представляет заданную расширенную строку
* Обратимость - любая расширенная строка, отображенная в простую, может быть восстановлена из этой простой строки
</section>
<section data-markdown>
### Особенности Bootstring
* Эффективное кодирование - отношение длины простой строки к длине расширенной строки мало
* Простота - алгоритмы кодирования и декодирования достаточно просты в реализации
* Читаемость - символы простого алфавита, появляющиеся в расширенной строке, представляются в простой строке "как есть"
(хотя основная цель - повысить эффективность, а не читабельность)
</section>
<section data-markdown>
### Шаг 1
Отделение символов простого алфавита
Cимволы простого алфавита, появляющиеся в расширенной строке, представляются буквально в начале простой строки в их первоначальном порядке
Затем разделитель - простая кодовая позиция, которая никогда не появляется в оставшейся части простой строки
Декодер может найти конец этой части (если она есть), найдя последний разделитель
</section>
<section data-markdown>
### Шаг 2
Несортированная вставка
Оставшаяся часть простой строки (после последнего разделителя, если он есть) -
последовательность неотрицательных смещений в виде обобщенных целых чисел переменной длины
```
schön -> schn-7qa
```
Generalized variable-length integers - вот тут магия
</section>
<section data-markdown>
### Как работает декодер
Строим расширенную строку постепенно
* первоначально расширенная строка является копией буквальной части простой строки
(исключая последний разделитель)
* для каждого смещения из последовательности вставляем расширенный символ
в "рабочий" вариант расширенной строки
</section>
<section data-markdown>
Внутри декодера конечный автомат с двумя состояниями: индекс $i$ и счетчик $n$
Индекс $i$ - положение в расширенной строке
* меняется от 0 до текущей длины
* адресация потенциальной позиции за пределами текущего конца строки
Если текущее состояние ($n$, $i$), то следующее
* ($n$, $i + 1$), если $i < len(extstring)$
* ($n + 1$, $0$), если $i = len(extstring)$
</section>
<section data-markdown>
Автомат начинает с ($n=128, i=0$)
Каждое изменение состояния увеличивает $i$ (сбрасывая в 0 по условию), а $n$ считает
количество циклов
Декодер для каждого ($n$, $i$) может вставить в позицию $i$ символ с кодом $n$.
Или не вставить.
* максимум одна вставка в заданном состоянии
* расширенная строка "раздвигается"
* можно вставлять до начала строки или после окончания
</section>
<section data-markdown>
Цепочка чисел для Bootstrap - это длины "холостых" серий, т.е. изменения состояния автомата без вставки
$$ 4, 8, 15, 16, 23, 42 $$
Для каждого числа декодер изменяет состояние автомата,
затем вставка, затем еще одно изменение состояния
Задача кодировщика - получить последовательность,
которая заставит декодер построить желаемую строку
</section>
<section data-markdown>
### Generalized variable-length integers
Какие проблемы у цепочки чисел?
* нужен разделитель (+1 байт)
* неоднозначная запись (7, 07, 007)
Обобщенные целые числа переменной длины
* саморазделяющиеся, можно записать непрерывно
* однозначная запись
</section>
<section data-markdown>
### Обычные числа
В системе счисления с основанием $base$
$$ \text{число } d_n ... d_1 d_0 ,
\text{где } d_i \in ( 0 ... base-1 )$$
$$ \text{значение числа = } \sum_{i=0}^n d_i \cdot w_i $$
$$ w_0 = 1, w_i = w_{i-1} \cdot base $$
например, $ 437_8 = 7 + 3 \cdot 8 + 4 \cdot 64 = 287 $
</section>
<section data-markdown>
### Обобщенные числа
Цифры те же, $d_i \in ( 0 ... base-1 )$
Новое: пороговые значения $t_i$
* $t_i \in ( 0 ... base-1 )$
Ровно одна цифра, самая значимая, удовлетворяет условию $d_i < t_i$
Новое - переменный вес цифр
* $ w_0 = 1 $
* $ w_i = w_{i-1} \cdot (base - t_{i-1}) \text{ для } i > 0$
</section>
<section data-markdown>
### Пример
$ base = 8 $
Пороговые значения: $2, 3, 5, 5, 5, ...$
Цепочка чисел (little-endian) $ 734251... $
Сначала выделяем отдельные числа:
* $ 7 < 2 $ ? нет, условие $ d_i < t_i $
* $ 3 < 3 $ ? нет
* $ 4 < 5 $ ? да, число будет 734 (little-endian)
Значение $ 734_8 = 7 \cdot 1 + 3 \cdot 6 + 4 \cdot 30 = 145_{10} $
</section>
<section data-markdown>
### Параметры Punycode
Подобраны, чтобы быстро продвинуть автомат
с $ n=128 $ до кодов национальных алфавитов,
а затем идти мелкими шагами
$ base = 36$
| code points | digit-values |
|- |- |
| 41..5A (A-Z) | 0 .. 25 |
| 61..7A (a-z) | 0 .. 25 |
| 30..39 (0-9) | 26 .. 35 |
Значения $ t_i $ вычисляются по специальной формуле,
$ 1 \leq t_i <= 26 $
</section>
<section data-markdown>
<script type="text/template">
### Понимание алгоритма
```
schn-7qa -> schön
^ автомат указывает сюда
```
```
schn-7qab -> ???
```
```
schn-7qab -> schönö
```
<!-- .element: class="fragment" -->
</script>
</section>
<section data-markdown>
### Применение
A-строка включает префикс xn--
Конвертеры: есть у каждого регистратора, или гугл подскажет [idna-converter.com](https://idna-converter.com/)
Хотим зарегистрировать домен урфу.рф ?
Создаем зону
```
xn--p1afbd.xn--p1ai
```
</section>
<section data-markdown>
## Проблемы и атаки на DNS
</section>
<section data-markdown>
### Классы атак
RFC 3833 Threat Analysis of the Domain Name System (DNS)
* перехват пакетов
* угадывание ID и предсказание запросов
* отравление кеша
* подмена авторитетного сервера
* отказ обслуживания
</section>
<section data-markdown>
### DNS Amplification
</section>
<section data-markdown>
### DNS spoofing
Black Hat USA 2008 — Kaminsky attack
[unixwiz.net/techtips/iguide-kaminsky-dns-vuln.html](http://unixwiz.net/techtips/iguide-kaminsky-dns-vuln.html)
Чтобы послать подложный пакет, который будет воспринят жертвой как правильный, достаточно подобрать ID и номер порта-отправителя
В простейшем случае злоумышленник может отправить подложный DNS-ответ с подложным IP-адресом узла, на который обращается жертва, и куда она будет перенаправлена
</section>
<section data-markdown>
## Безопасность DNS
</section>
<section data-markdown>
### Криптография
Криптография — прикладная наука о методах преобразования информации с целью ее защиты
* создать абсолютно недоступный для других канал связи между абонентами
* в общедоступном канале связи скрыть сам факт передачи информации (стеганография)
* в общедоступном канале связи передавать преобразованную информацию, которую может восстановить только адресат (криптография)
</section>
<section data-markdown>
### Алгоритмы
</section>
<section data-markdown>
### Пример
Шифр Цезаря (замена со сдвигом)
Каждый символ открытого текста заменяется символом, находящимся тремя символами правее в алфавите
</section>
<section data-markdown>
### Проблема распределения ключей
</section>
<section data-markdown>
### Выработка общего ключа
Алгоритм Diffie-Hellman, 1976 г.
</section>
<section data-markdown>
### Асимметричная криптография
Rivest, Shamir и Adleman
RSA — криптографический алгоритм с открытым ключом, основывающийся на вычислительной сложности задачи факторизации больших целых чисел
</section>
<section data-markdown>
### RSA
* выбираются два различных случайных простых числа $p, q$
* $ n = p \cdot q $
* $ \varphi(n) = (p-1) (q-1) $ - функция Эйлера
* выбирается целое число $ e $, взаимно простое со значением функции $ \varphi(n) $
* выбирается целое число $ d $, такое что $ d \cdot e \mod \varphi(n) = 1 $
* пара $ (e, n) $ – открытый ключ RSA
* пара $ (d, n) $ – закрытый ключ RSA
</section>
<section data-markdown>
### Пример работы RSA
Зашифруем и расшифруем сообщение «САВ»
Пусть коды символов А=1, В=2, С=3
Для простоты возьмем небольшие числа
* $ p=3 $ и $ q=11 $
* $ n = 3 \cdot 11 = 33 $
* $ \varphi(n) = (p-1)(q-1) = 20 $
* пусть, например, $ e = 3 $
* найдем $ d $ из условия $ d \cdot 3 \mod 20 = 1 $,
т.е. $ d = 7 $
</section>
<section data-markdown>
### Зашифруем
Зашифровать данные открытым ключом $ (e,n) $
* разбить шифруемый текст на блоки, каждый из которых представляется в виде числа $ M(i)=0,1,2..., n-1$ ( т.е. только до $n-1$ )
* $ C(i) = M(i) ^ e \mod n $
Открытый ключ (7,33)
* $ C1 = 3^7 \mod 33 = 2187 \mod 33 = 9$
* $ C2 = 1^7 \mod 33 = 1 \mod 33 = 1$
* $ C3 = 2^7 \mod 33 = 128 \mod 33 = 29$
</section>
<section data-markdown>
### Расшифруем
Расшифровать данные секретным ключом $ (d,n) $
* $ M(i) = C(i)^d \mod n $
закрытый (секретный) ключ (3,33)
* $ M1 = 9^3 \mod 33 = 729 \mod 33 = 3 (С) $
* $ M2 = 1^3 \mod 33 = 1 \mod 33 = 1 (А) $
* $ M3 = 29^3 \mod 33 = 24389 \mod 33 = 2 (В) $
Обратите внимание - $ d $ и $ e $ взаимозаменяемы
</section>
<section data-markdown>
## Электронная подпись
</section>
<section data-markdown>
### Подпись зон в DNS
DNSSEC — Domain Name System Security Extensions
Направлен на предоставление DNS-клиентам аутентичных ответов на DNS-запросы (или аутентичную информацию о факте отсутствия данных) и обеспечение их целостности
DNSSEC – что это такое? [icann.org/resources/pages/dnssec-what-is-it-why-important-2019-03-20-ru](https://www.icann.org/resources/pages/dnssec-what-is-it-why-important-2019-03-20-ru)
</section>
<section data-markdown>
### DNSSEC
У каждой зоны DNS есть пара открытых/закрытых ключей
Закрытый ключ - для генерирования цифровых подписей для данных при изменениях зоны
Открытый ключ зоны публикуется в ней же, и получить его может каждый
Ресолвер, производящий поиск данных в зоне, также получает открытый ключ этой зоны и использует его для проверки подлинности данных DNS
</section>
<section data-markdown>
### Цепочка доверия
Как резолверу проверить подлинность самого открытого ключа зоны?
Как и все остальные данные, открытый ключ зоны тоже подписывается
Однако открытый ключ зоны подписывается не ее же закрытым ключом, а закрытым ключом ее родительской зоны
Цепочка доверия - последовательность криптографических ключей, используемых для подписания других криптографических ключей
</section>
<section data-markdown>
### Trust anchor - якорь доверия
Исключение составляет корневая зона — ее ключ подписывать некому
Якорем доверия - открытый ключ, находящийся в начале цепочки доверия
Для большинства ресолверов задан всего один якорь доверия — открытый ключ корневой зоны
[data.iana.org/root-anchors](https://data.iana.org/root-anchors/root-anchors.xml)
```
. initial-key 257 3 8 "AwEAAaz/tAm8yTn4Mfeh5eyI96WSVexTBAvkMgJzkKTOiW1vkIbzxeF3
+/4RgWOq7HrxRixHlFlExOLAJr5emLvN7SWXgnLh4+B5xQlNVz8Og8kv
ArMtNROxVQuCaSnIDdD5LKyWbRd2n9WGe2R8PzgCmr3EgVLrjyBxWezF
0jLHwVN8efS3rCj/EWgvIWgb9tarpVUDK/b58Da+sqqls3eNbuv7pr+e
oZG+SrDK6nWeL3c6H5Apxz7LjVc1uTIdsIXxuOLYA4/ilBmSVIzuDWfd
RUfhHdY6+cn8HFRm+2hM8AnXGXws9555KrUB5qihylGa8subX2Nn6UwN
R1AkUTV74bU=";
```
</section>
<section data-markdown>
### Типы ключей DNSSEC
Особенность - в DNSSec два типа ключей
- для подписи зоны (ZSK, zone signing key),
- подписи набора ключей (KSK, key signing key)
Зона может быть достаточно большой чтобы удалось подобрать закрытый ключ ZSK, поэтому его надо менять почаще, да и сделать его можно покороче, чтобы зоны подписывались быстрее
KSK же используется для небольших объемов данных, поэтому его можно и подлиннее сделать и менять пореже
</section>
<section data-markdown>
### Подписанная зона
Cпециальные ресурсные записи DNS
| запись | для чего |
|----------------------------|--------------------------------------------------------------|
| DNSKEY, DNS Key Record | открытые ключи ZSK и KSK |
| RRSIG, DNSSEC Signature | электронные подписи ресурсных записей |
| NSEC3, Next-Secure Record | для контроля целостности данных зоны |
| DS, Delegation Signer | отпечаток (хеш) открытого ключа KSK для делегируемого домена |
Note:
NSEC запись содержит отсортированный по алфавиту и закольцованный список записей для данной зоны (последняя ссылается на первую) с указанием типов используемых ресурсных записей
DS - цифровой отпечаток открытого ключа KSK для низлежащего делегируемого домена. Она является необязательной для домена, который таких подчинённых доменов не имеет.
</section>
<section data-markdown>
### Дальнейшее чтение
[Внедрение DNSSEC для вашего домена](https://kostikov.co/vnedrenie-dnssec-dlya-vashego-domena)
[Практическое применение DNSSEC](https://habr.com/ru/post/138490/)
[Безопасность DNS (DNSSEC)](http://book.itep.ru/4/4/dnssec.htm)
</section>
<section data-markdown>
# Вопросы ?
</section>
</div>
</div>
<script src="js/reveal.js"></script>
<script>
Reveal.initialize({
hash: true,
slideNumber: true,
center: false,
dependencies: [
{ src: 'plugin/markdown/marked.js' },
{ src: 'plugin/markdown/markdown.js' },
{ src: 'plugin/math/math.js', async: true },
{ src: 'plugin/notes/notes.js', async: true },
{ src: 'plugin/highlight/highlight.js', async: true }
]
});
</script>
</body>
</html>