Ir al contenido principal

Hora de discontinuar SHA-1 en DNSSEC

Con la introducción de DNSSEC se hizo necesario el manejo de "criptografía asimétrica" en el DNS. Para ello se utilizan diversas tecnologías de seguridad como los clásicos algoritmos RSA y DSA, y otras nuevas que se incorporan a medida que van haciéndose prácticas -como las curvas elípticas el año 2012-, y por supuesto otras que deben irse dando de baja en la medida de que nuevas técnicas matemáticas y el avance de la capacidad de procesamiento hacen riesgoso su uso.




Fue el caso del algoritmo MD5, que fue utilizado en los comienzos de DNSSEC, pero que desde el año 2001 está declarado obsoleto para firmas digitales.

Ahora le toca el turno a SHA-1. Iniciando el 2020 unos investigadores demostraron por primera vez una forma práctica de hacer un ataque de tipo "chosen-prefix collision", con el que son capaces de armar dos registros distintos que dan la misma firma digital. Aunque no se han reportado ataques reales, y tiene varios supuestos que aún no lo hacen totalmente práctico, ya es el momento de darlo de baja en forma ordenada y preparada.

En un análisis de dominios de primer nivel (TLDs), se advierte que casi 300 de ellos están todavía empleando SHA-1. En la administración del .CL nunca lo hemos utilizado, ya que se comenzó a firmar desde un comienzo con el algoritmo SHA-256, que aún es bastante seguro. Sin embargo existe un número considerable de nombre de dominio de segundo nivel bajo .CL que aún lo siguen empleando. Aunque no es un tema de urgencia, ellos deberían programar durante este año su recambio a un algoritmo más seguro.

Existe un procedimiento estándar para dar de baja un algoritmo, al cual se le llama "rollover de algoritmo de llaves", que permite pasar a uno más seguro. Actualmente se recomienda utilizar o bien SHA-256 (número 8) o ECDSA con SHA-256 (número 13). Recomendamos revisar en sus sistemas de firmado la forma de realizar este procedimiento.

Además ya se ha visto movimiento en la comunidad DNS. ISC, la empresa que creó y mantiene Bind, el software más utilizado para DNS, ya anunció que quitará de sus "default" el uso de SHA-1 y recomendará fuertemente su reemplazo entre sus clientes. IETF ya a mediados del año pasado había recomendado dejar de usarlo, y ahora comenzó el trabajo de dejarlo obsoleto, y declararlo como tal en las tablas de algoritmos oficiales.

Comentarios

Entradas más populares de este blog

Ahora es más fácil sacarle provecho a tu dominio en .CL

La pandemia ha renovado el impulso al desarrollo de los servicios digitales. No solo las grandes empresas han debido reforzar sus canales de atención y de venta online. También los pequeños emprendedores han encontrado en Internet el medio propicio para llegar a sus clientes. En el dominio .CL hemos sido testigos del aumento de la demanda por inscribir nombres de dominio. Un dominio es, después de todo, la mejor forma de identificarse en Internet y una pieza clave de la imagen digital de cualquier empresa, desde las más pequeñas hasta las más grandes. Una dificultad para usar un nombre de dominio era que hay que invertir en el diseño de un sitio web, así como cubrir el costo del hospedaje en línea. Por este motivo, muchos pequeños emprendedores a veces prefieren mostrar sus productos a través de plataformas web como blogs, por ejemplo, o desde sus canales en redes sociales. Justo a tiempo para ayudarlos, NIC Chile lanzó el 14 de mayo de este año un nuevo servicio gratuito de redir

Routing seguro: instalación de FORT y FRR con RPKI

Una de las principales ventajas de las herramientas de Código Abierto es que permiten bajo licencias de uso acceder a su fuente y modificarla de acuerdo al objetivo de cada plataforma. Asimismo, millones de personas colaboran de manera productiva en la innovación y desarrollo de estas herramientas, lo que se traduce en su rápido avance y genera una constante retroalimentación dentro de la comunidad. Sin embargo, surgen diferentes inquietudes respecto al mundo de Código Abierto, una de ellas es: ¿Puede un proyecto mantener su desarrollo en los próximos 5 o 10 años? Un elemento tranquilizador es que hoy en día se observa que las grandes compañías cada vez se involucran más en las piezas de software construidos en Código Abierto; esta vinculación les permite escalar sus desarrollos tecnológicos a costos más bajos, pudiendo diseñar soluciones a la medida y adaptarlas a sus requerimientos. Estas compañías contribuyen con la comunidad aportando ideas y compartiendo parte de sus experienc

Uso correcto del servicio DNS secundario gratuito

NIC Chile desde hace más de 20 años ha ofrecido el servicio de " Secundario DNS gratuito " para sus clientes. El objetivo siempre fue mejorar la robustez de .CL, ya que disponer de solo 1 NS es demasiado frágil, y este servicio siempre se ha mantenido con los niveles de infraestructura y tiempos de respuesta adecuados a su tiempo. El uso del servicio ha sido sostenido en el tiempo. Actualmente, más de 30 mil de nuestros clientes lo utilizan! Y con la adición de tecnologías como IPv6, se ha permitido que estos miles de dominios CL tengan presencia en la nueva red . Sin embargo, no todo es miel sobre hojuelas. Desde los inicios se ha detectado un problema técnico recurrente. El uso de este servicio, si bien es gratuito para clientes de NIC Chile, requiere una configuración técnica especial para que funcione correctamente. Y esta configuración debe ser realizada por quien administre el servicio DNS del dominio (por ejemplo la empresa de hospedaje (" host