DNSSEC. Cos è DNSSEC? Perché serve DNSSEC? Per un Internet sicuro

Transcript

1 SEC Per un Internet sicuro Cos è SEC? SEC è un ampliamento del Domain Name System () che serve a garantire la genuinità (autenticità) e la completezza (integrità) dei dati delle risposte del. Pertanto, il computer richiedente (p.es. un browser Internet) può riconoscere mediante misure tecniche se la risposta a un indirizzo Internet nel proviene effettivamente dal server registrato da noi come pertinente. Al tempo stesso si garantisce che questa risposta non sia stata modificata durante il trasporto in Internet. Detto in termini semplici: SEC è una sorta di assicurazione che garantisce all utente di Internet che venga visualizzato unicamente il sito web che egli intende richiamare. Questa garanzia viene data mediante firme crittografiche. Le informazioni non vengono criptate in SEC. Tutti i dati rimangono pubblicamente accessibili come nel esistente. Perché serve SEC? Il lettore attento avrà certamente notato che nel browser Internet è già integrata una tecnologia che dovrebbe garantire all utente il sito web «corretto». Questi siti web sono perlopiù criptati con SSL (Secure Sockets Layer) e vengono contrassegnati nel browser con il simbolo di una chiave. 1

2 SEC non è stato concepito per sostituire la codifica SSL. Anzi, SEC dovrebbe completare SSL e impedire che non si finisca subito su un server sbagliato prima che sia assicurata la connessione mediante SSL. Come funziona il (Domain Name System)? Internet, così come lo conosciamo oggi, si basa sul Domain Name System globale. Vorremmo descriverne il funzionamento qui di seguito. Ci si può immaginare il come un elenco telefonico distribuito globalmente che assegna i nomi a dominio inequivocabili ( di tutto il mondo agli indirizzi Internet inequivocabili ( ) di tutto il mondo. Gli indirizzi Internet oppure anche i nomi a dominio servono soltanto a semplificare il modo di scrivere. Affinché le richieste non finiscano tutte su un unico server, il ha una struttura gerarchica. Lo spazio del nome viene suddiviso in cosiddette zone. Per ch si tratta, dopo la gerarchia superiore (root), dei server per la Svizzera («ch») e poi dei server di SWITCH (). Le pertinenze delle zone vengono suddivise (delegate) nella gerarchia. Se volete richiamare con il vostro computer il sito web il name server del vostro gestore Internet interrogherà successivamente tutti i livelli della gerarchia. Ogni livello che non conosce la risposta all indirizzo destinatario rinvia al livello inferiore. Il server più basso nella gerarchia può dare alla fine la risposta all indirizzo. Il Domain Name System () ha una struttura gerarchica. I name server per inoltrano automaticamente all indirizzo corretto le richieste di nomi a dominio con l estensione (p.es. )..com.org nic iana.org A cosa serve SEC? Immaginatevi che qualcuno riesca a modificare le voci di un elenco telefonico. Voi cercate il numero dell Helpdesk di SWITCH e trovate un numero sbagliato. Avreste la possibilità di riconoscere un uso illecito? È difficile. Un tale scenario è possibile in Internet, quando un hacker modifica la gerarchia descritta in alto. Se un hacker riesce a immettere dati falsi (cache poisoning), per esempio nel server del vostro provider, se voi richiamaste www. finireste su un altro sito web. È meglio che non vi immaginiate cosa potrebbe succedere se il sito web nic falsificato fosse quello della vostra banca. Oppure se inviaste la più recente strategia della vostra ditta al mail server «falso» di un partner

3 La gerarchia può essere modificata mediante il «Cache-Poisoning». nic nic Poiché Internet viene utilizzato oggi per tutti gli scopi possibili e immaginabili, questi attacchi degli hacker possono avere conseguenze di ampia portata. SEC offre una protezione fondamentale da tali attacchi, e non solo quando si richiamano siti web. SEC in dettaglio SEC non può proteggere in generale INTERNETdagli attacchi di phishing. Esso offre però una protezione efficace dagli attacchi al. Questo è importante, poiché la maggior parte degli attacchi di phishing può essere ATTENZIONE! scoperta e impedita dagli utenti di IN Internet attenti. Tuttavia, persino gli esperti difficilmente possono riconoscere gli IN attacchi al Come già menzionato, SEC si basa su firme o segnature crittografiche con le quali vengono firmate (segnate) le voci attuali del. Chiunque è responsabile (autoritativamente) di un nome a dominio in Internet può proteggere le proprie informazioni mediante SEC. root Tutte le informazioni CHAIN delle OF TRUST quali è responsabile un offerente di servizi vengono firmate con la sua chiave personale e le firme vengono riportate nel (RRSIG Record). ch.ds hash() ch.rrsig DS.... DS hash(). RRSIG DS... privata www. A www. RRSIG A privata 3

4 .com.org nic Un esempio con SEC: Il name server del vostro offerente Internet segue di nuovo la nota gerarchia per risolvere un interrogazione. nic Ma questa volta può verificare, iana.orgsulla scorta delle firme ricevute, se l origine delle risposte è corretta e se una risposta è stata modificata strada facendo. Esso risponderà soltanto se tutte le informazioni sono corrette. Il name server del vostro offerente Internet riconosce mediante SEC una gerarchia modificata dal «Cache-Poisoning». INTERNET IN ATTENZIONE! IN nic nic Ma come si possono verificare tutte queste firme? La «Chain of trust» in dettaglio CHAIN OF TRUST Per produrre delle firme digitali si genera una coppia di chiavi. Una tale coppia di chiavi consiste di una coppia di chiavi privata e di una coppia di chiavi pubblica (criptosistema root asimmetrico). Come già dice il nome, la parte privata è segreta e INTERNET rimane presso il possessore. La parte pubblica viene pubblicata nel ( Record). Con la si può ora verificare e convalidare una firma apposta ATTENZIONE! con la chiave privata. IN Bisogna dunque fidarsi di una prima di poter verificare una firma. Poiché non è possibile fidarsi di tutte le chiavi in Internet, si utilizza una gerarchia nic ch.ds hash(). DS hash() delle chiavi ch.rrsig analoga DS... alla gerarchia del. RRSIG («chain DS... of trust»). A prima www. vista RRSIG la cosa A sembra un po firmato sconcertante, chiave ma questo firmato è necessario con chiave per poter verificare firmato tutte con chiave le firme privata privata con una singola. IN www. A L istanza superiore (p.es. un name server per ) garantisce in una «Chain of trust» l autenticità dei dati dell istanza subordinata. CHAIN OF TRUST root ch.ds hash() ch.rrsig DS.... DS hash(). RRSIG DS... privata www. A www. RRSIG A privata 4

5 Una riproduzione della viene sempre comunicata al livello successivo nella gerarchia. L istanza superiore riporta questa riproduzione nella sua zona (DS Record) e ne garantisce l autenticità mediante una firma. La di questa istanza viene trasmessa a sua volta all istanza superiore. SEC DFIE Cosa mi occorre per utilizzare SEC? Come utenti di Internet non occorre fare nulla. Se il vostro ADSL o l offerente di modem via cavo supporta SEC, tutte le verifiche delle firme vengono effettuate sui suoi server. In quanto detentori di un nome a dominio, il vostro gestore del sito web responsabile deve impostare SEC per voi. Poiché SEC non sarà molto diffuso proprio nella fase iniziale, è probabile che all inizio i gestori di siti web meritevoli di protezione (p.es. le banche) saranno i primi a proteggere i loro siti web con SEC. SWITCH Werdstrasse 2 Casella postale CH-8021 Zurigo Telefono Fax helpdesk@nic 5