DNSSEC. Cos è DNSSEC? Perché serve DNSSEC? Per un Internet sicuro

Dimensione: px

Iniziare la visualizzazioe della pagina:

Download "DNSSEC. Cos è DNSSEC? Perché serve DNSSEC? Per un Internet sicuro"

Filippo Vitale
7 anni fa
Visualizzazioni

1 DNSSEC Per un Internet sicuro Cos è DNSSEC? DNSSEC è un ampliamento del Domain Name System (DNS) che serve a garantire la genuinità (autenticità) e la completezza (integrità) dei dati delle risposte del DNS. Pertanto, il computer richiedente (p.es. un browser Internet) può riconoscere mediante misure tecniche se la risposta a un indirizzo Internet nel DNS proviene effettivamente dal server registrato da noi come pertinente. Al tempo stesso si garantisce che questa risposta non sia stata modificata durante il trasporto in Internet. Detto in termini semplici: DNSSEC è una sorta di assicurazione che garantisce all utente di Internet che venga visualizzato unicamente il sito web che egli intende richiamare. Questa garanzia viene data mediante firme crittografiche. Le informazioni non vengono criptate in DNSSEC. Tutti i dati rimangono pubblicamente accessibili come nel DNS esistente. Perché serve DNSSEC? Il lettore attento avrà certamente notato che nel browser Internet è già integrata una tecnologia che dovrebbe garantire all utente il sito web «corretto». Questi siti web sono perlopiù criptati con SSL (Secure Sockets Layer) e vengono contrassegnati nel browser con il simbolo di una chiave. 1

2 DNSSEC non è stato concepito per sostituire la codifica SSL. Anzi, DNSSEC dovrebbe completare SSL e impedire che non si finisca subito su un server sbagliato prima che sia assicurata la connessione mediante SSL. Come funziona il DNS (Domain Name System)? Internet, così come lo conosciamo oggi, si basa sul Domain Name System globale. Vorremmo descriverne il funzionamento qui di seguito. Ci si può immaginare il DNS come un elenco telefonico distribuito globalmente che assegna i nomi a dominio inequivocabili ( di tutto il mondo agli indirizzi Internet inequivocabili ( ) di tutto il mondo. Gli indirizzi Internet oppure anche i nomi a dominio servono soltanto a semplificare il modo di scrivere. Affinché le richieste non finiscano tutte su un unico server, il DNS ha una struttura gerarchica. Lo spazio del nome viene suddiviso in cosiddette zone. Per ch si tratta, dopo la gerarchia superiore (root), dei server per la Svizzera («ch») e poi dei server di SWITCH (). Le pertinenze delle zone vengono suddivise (delegate) nella gerarchia. Se volete richiamare con il vostro computer il sito web il name server del vostro gestore Internet interrogherà successivamente tutti i livelli della gerarchia. Ogni livello che non conosce la risposta all indirizzo destinatario rinvia al livello inferiore. Il server più basso nella gerarchia può dare alla fine la risposta all indirizzo. Il Domain Name System (DNS) ha una struttura gerarchica. I name server per inoltrano automaticamente all indirizzo corretto le richieste di nomi a dominio con l estensione (p.es. )..com.org nic iana.org A cosa serve DNSSEC? Immaginatevi che qualcuno riesca a modificare le voci di un elenco telefonico. Voi cercate il numero dell Helpdesk di SWITCH e trovate un numero sbagliato. Avreste la possibilità di riconoscere un uso illecito? È difficile. Un tale scenario è possibile in Internet, quando un hacker modifica la gerarchia descritta in alto. Se un hacker riesce a immettere dati falsi (cache poisoning), per esempio nel server del vostro provider, se voi richiamaste www. finireste su un altro sito web. È meglio che non vi immaginiate cosa potrebbe succedere se il sito web falsificato fosse quello della vostra banca. Oppure se inviaste la più recente strategia della vostra ditta al mail server «falso» di un partner. 2

3 La gerarchia può essere modificata mediante il «Cache-Poisoning». Gerarchia modificata nic Poiché Internet viene utilizzato oggi per tutti gli scopi possibili e immaginabili, questi attacchi degli hacker possono avere conseguenze di ampia portata. DNSSEC offre una protezione fondamentale da tali attacchi, e non solo quando si richiamano siti web. DNSSEC non può proteggere in generale dagli attacchi di phishing. Esso offre però una protezione efficace dagli attacchi al DNS. Questo è importante, poiché la maggior parte degli attacchi di phishing può essere scoperta e impedita dagli utenti di Internet attenti. Tuttavia, persino gli esperti difficilmente possono riconoscere gli attacchi al DNS. DNSSEC in dettaglio Come già menzionato, DNSSEC si basa su firme o segnature crittografiche con le quali vengono firmate (segnate) le voci attuali del DNS. Chiunque è responsabile (autoritativamente) di un nome a dominio in Internet può proteggere le proprie informazioni mediante DNSSEC. Tutte le informazioni delle quali è responsabile un offerente di servizi vengono firmate con la sua chiave personale e le firme vengono riportate nel DNS (RRSIG Record). 3

4 .com.org Un esempio con DNSSEC: Il name server del vostro offerente Internet segue di nuovo la nota gerarchia per risolvere un interrogazione. nic Ma questa volta può verificare, iana.orgsulla scorta delle firme ricevute, se l origine delle risposte è corretta e se una risposta è stata modificata strada facendo. Esso risponderà soltanto se tutte le informazioni sono corrette. Il name server del vostro offerente Internet riconosce mediante DNSSEC una gerarchia modificata dal «Cache-Poisoning». DNS SERVER GESTORE INTERNET Gerarchia modificata ATTENZIONE! nic nic UTENTE Ma come si possono verificare tutte queste firme? La «Chain of trust» in dettaglio Per produrre delle firme digitali si genera una coppia di chiavi. Una tale coppia di DNS chiavi consiste di una coppia di chiavi privata e di SERVER una coppia di chiavi pubblica GESTORE (criptosistema asimmetrico). Come già dice il nome, la parte privata è segreta e INTERNET rimane presso il possessore. La parte pubblica viene pubblicata nel DNS ( Record). Con la chiave pubblica si può ora verificare e convalidare una firma apposta ATTENZIONE! con la chiave privata. Bisogna dunque fidarsi di una chiave pubblica prima di poter verificare una firma. Poiché non è possibile fidarsi di tutte le chiavi in Internet, si utilizza una gerarchia nic delle chiavi analoga alla gerarchia del DNS («chain of trust»). A prima vista la cosa sembra un po sconcertante, ma questo è necessario per poter verificare tutte le firme con una singola chiave pubblica. UTENTE L istanza superiore (p.es. un name server per ) garantisce in una «Chain of trust» l autenticità dei dati dell istanza subordinata. CHAIN OF TRUST chiave pubblica root chiave pubblica chiave pubblica ch.ds hash() ch.rrsig DS... privata root. DS hash(). RRSIG DS... privata www. A www. RRSIG A privata 4

5 Una riproduzione della chiave pubblica viene sempre comunicata al livello successivo nella gerarchia. L istanza superiore riporta questa riproduzione nella sua zona (DS Record) e ne garantisce l autenticità mediante una firma. La chiave pubblica di questa istanza viene trasmessa a sua volta all istanza superiore. DNSSEC DFIE Cosa mi occorre per utilizzare DNSSEC? Come utenti di Internet non occorre fare nulla. Se il vostro ADSL o l offerente di modem via cavo supporta DNSSEC, tutte le verifiche delle firme vengono effettuate sui suoi server DNS. In quanto detentori di un nome a dominio, il vostro gestore del sito web responsabile deve impostare DNSSEC per voi. Poiché DNSSEC non sarà molto diffuso proprio nella fase iniziale, è probabile che all inizio i gestori di siti web meritevoli di protezione (p.es. le banche) saranno i primi a proteggere i loro siti web con DNSSEC. SWITCH Werdstrasse 2 Casella postale CH-8021 Zurigo 5

Documenti analoghi

DNSSEC. Cos è DNSSEC? Perché serve DNSSEC? Per un Internet sicuro

DNSSEC. Cos è DNSSEC? Perché serve DNSSEC? Per un Internet sicuro SEC Per un Internet sicuro Cos è SEC? SEC è un ampliamento del Domain Name System () che serve a garantire la genuinità (autenticità) e la completezza (integrità) dei dati delle risposte del. Pertanto,