Geen problemen bij eerste stap naar DNSSEC

Stap een bestond uit de invoering van de zogeheten Deliberately Unvalidatable Root Zone op alle 13 rootservers van het Domain Name System, de centrale verwijsindex van internet. Dat project begon in januari. Gisteren werd deze tussenvariant geïnstalleerd op de laatste rootserver.

Redactie AG ConnectMeer van deze auteur

Tech & Toekomst — Shutterstock

Shutterstock

Velen waren bevreesd dat er problemen zouden ontstaan met de langere antwoorden die het Domain Name System met Security Extensions gaat geven. DNS beperkte zich tot 512 bytes; de toevoeging van valideringssleutels in DNSSEC maakt de antwoorden langer, tot wel 2 kilobyte. Het was onduidelijk of alle apparatuur en software op internet daarmee overweg kon. Ook bestond de vrees dat DNS-antwoorden langer dan 512 byte bij sommige bedrijven geblokkeerd zouden blijken te zijn om aanvallen langs dat kanaal de pas af te snijden. Van beide is in ieder geval niet op grote schaal melding gemaakt.

Internetserviceprovider Australia Online heeft een test online gezet waarmee men snel zelf kan testen of de wijziging in de opzet van de centrale verwijsindex problemen oplevert. Het Domain Name System Operations Analysis and Research Center heeft speciaal voor firewallbeheerders een testtool beschikbaar gemaakt.

Na de invoering van de Deliberately Unvalidatable Root Zone, waarmee de verwerking van langere DNS-reacties wordt getest, zullen ICANN en Verisign de sleutels gaan verspreiden waarmee bij het opvragen van internetadressen geverifieerd kan worden of het opgegeven adres uit een valide bron komt.

Daarmee start men op 1 juli. Op dat moment zullen overigens nog niet alle domeinen DNSSEC-gecertificeerd zijn. Voor het .net-domein duurt dat nog tot december en voor het .com-domein naar verwachting tot maart volgend jaar.