3 July 2017, Introduction to DNSSEC at ION Conference as part of TICAL2017.

1. Introducción a DNSSEC
ION Costa Rica 2017
Mauricio Oviedo
NIC Costa Rica
moviedo@nic.cr

2. • El DNS y el mundo
• ¿Por qué DNSSEC?
• La seguridad la hacemos todos
Agenda

3. DNS y el mundo: Datos Globales
Fuente: https://www.verisign.com/en_US/domain-names/dnib/index.xhtml

4. ¿Cuál es la IP de
www.nic.cr? 2001:13c7:7004:1::13
¿www.nic.cr?
Ve al
servidor
DNS de .CR
¿www.nic.cr?
2001:13c7:7004:1::13
Servidor Caché
Servidores RaízServidores Raíz
Funcionamiento del DNS: Consultas DNS

5. DNS Seguro: ¿Por qué debería importarnos?

6. DNS Seguro: ¿Por qué debería importarnos?
• Internet: componente clave en la vida de las personas
• Transacciones bancarias, consulta de información, compras
en línea y mucho más…
• Nuestro uso de Internet debe crecer de la mano con la
seguridad de nuestra información
• Tenemos opciones para incrementar la seguridad al usar
Internet

7. Funcionamiento del DNS: Vectores de ataque

8. Servidor
Caché
.
Usuario
DNSKEY
Raíz
DNSKEY
.CR
DNSKEY
NIC.CR
DS
NIC.CR
DS .CR
DNSSEC: Funcionamiento

9. DNSSEC: ¿Qué protege?

10. DNSSEC: ¿Cómo lo utilizo?
• DNSSEC no solo depende del firmado de la zona, sino
también de que el resolver local esté habilitado con DNSSEC
• A nivel de Servidor Autoritativo, existen procedimientos
manuales y autómaticos para el firmado de zonas, entre ellos:
• Bind Inline Signing
• Open DNSSEC
• La publicación de llaves y creación de la cadena de confianza
en gratuita para todos los dominios .CR y disponible desde el
2012
• A nivel de Servidor Caché, normalmente la configuración se
basa en únicamente habilitar la opción de validación

11. DNSSEC: ¿Cómo lo utilizo?
• Como usuario, idealmente su servidor caché local hará la
validación DNSSEC bloqueando automáticamente sitios que
fallan por firmas incorrectas.
• Este DNS resolver puede estar en el ISP, la red local, o en
una servidor que de el servicio al público
• Se pueden utilizar plugins directamente en el browser para
hacer la validación:
https://labs.nic.cz/en/dnssec-validator-2-0-for-
browsers.html

12. DNSSEC: Estado de los ccTLDs
Fuente: internetsociety.org/deploy360

13. DNSSEC: Estado de validación de DNSSEC

14. DNSSEC: ¿Cómo podemos colaborar?
¿Qué retos consideran que hay que superar?
Qué les ayudaría a configurar validación de DNSSEC?
¿Qué les ayudaría a firmar sus zonas?
¿Qué más podemos hacer con DNSSEC?

15. Registros
DNS
Usuarios
Administradores
de Dominios ISPs

16. Mauricio Oviedo – moviedo@nic.cr - ION Costa Rica 2017

17. Mauricio Oviedo
moviedo@nic.cr

18. Búscanos en redes
sociales
NIC CR
@CR_NIC