211service.com
Una nuova rete di fiducia
Un elemento fondamentale di Internet che aiuta milioni di sistemi di computer a localizzarsi sta finalmente ottenendo un aggiornamento tanto necessario. Il sistema dei nomi di dominio (DNS) funziona in modo molto simile alla rubrica di Internet, traducendo gli URL che gli utenti digitano in un browser negli indirizzi numerici utilizzati per identificare i server che ospitano il sito richiesto.
Recentemente, questo sistema di 30 anni ha iniziato a mostrare la sua età.
L'anno scorso, un team di ricercatori di sicurezza di alto profilo ha corso per riparare un difetto critico nel DNS che ha reso possibile dirottare le comunicazioni legittime, indirizzando potenzialmente i navigatori Web ignari a pagine Web dannose. La patch ideata dal team ha ridotto il pericolo immediato, ma non doveva essere una soluzione permanente.
Per una soluzione a lungo termine, molti esperti stanno ora cercando di DNSSEC , un protocollo che verifica i messaggi DNS con firme digitali. Il Registro di interesse pubblico , che gestisce il dominio .org, sta implementando DNSSEC su tutti gli indirizzi Web che terminano con questo suffisso e prevede di completare la prima fase del processo all'inizio di quest'anno. Il governo degli Stati Uniti si è impegnato ad accendere DNSSEC per .gov pure, e la neonata Coalizione industriale DNSSEC sta spingendo per ottenere un'adozione ancora più ampia del protocollo.
Questa è una specie di svolta. Nei 14 anni trascorsi da quando è stato concepito DNSSEC, il protocollo ha faticato a ottenere un'adozione diffusa perché è stato visto aumentare inutilmente la complessità dell'implementazione del DNS. La chiave del difetto DNS scoperto l'anno scorso è che il protocollo è stato progettato durante un periodo di maggiore fiducia e non si preoccupa di autenticare le informazioni. Dan Kaminsky , direttore dei test di penetrazione presso IOActive , una società di sicurezza con sede a Seattle, si è resa conto che, se un utente malintenzionato fosse riuscito a infiltrarsi in una comunicazione DNS, avrebbe potuto reindirizzare il traffico Web in quasi tutti i modi. Sono state aggiunte funzionalità al DNS per ridurre la minaccia che i messaggi vengano dirottati, ma DNSSEC aggiunge per la prima volta una vera autenticazione al sistema.
Consiglio di Alexa , amministratore delegato del Registro di interesse pubblico, osserva che qualcuno doveva essere il primo ad attuare il nuovo protocollo. Prima d'ora, dice, le organizzazioni responsabili dei nomi di dominio non si stavano muovendo per integrare DNSSEC perché inviavano credenziali a server che non li stavano ascoltando, o stavano ascoltando credenziali che non avrebbero essere lì. Raad afferma che il Registro di interesse pubblico ha iniziato a integrare DNSSEC molto prima che fosse annunciato il difetto di Kaminsky, sperando di incoraggiare l'adozione del protocollo dando l'esempio. Le rivelazioni del difetto di Kaminsky hanno semplicemente contribuito ad intensificare il dibattito, dice. Negli ultimi due anni, gran parte del dibattito sul DNSSEC si è incentrato su: 'Ne abbiamo bisogno?' Esistono altre tecnologie? Quanto è fattibile?’ Penso che il dibattito si sia completamente allontanato da questo. Capiamo tutti che il DNS è in effetti rotto. L'unica soluzione per questo è, infatti, DNSSEC. Il dibattito ora è: 'Come ci distribuiamo?'
DNSSEC riguarda la creazione di una catena di fiducia, aggiunge Ram Mohan , CTO di Afilias , che ha lavorato per aiutare il Registro di interesse pubblico a gestirne la diffusione. Ci sono molti posti in cui DNSSEC deve essere attivato affinché la catena di fiducia fluisca ininterrotta dall'utente a un sito web. Una volta che un dominio di primo livello (come .org o .com) implementa DNSSEC, qualsiasi sito Web sotto quel dominio può scegliere di attivare anche DNSSEC, che è un anello importante della catena. Poiché i fornitori di servizi Internet come Comcast hanno iniziato a supportare DNSSEC, afferma Mohan, sta diventando possibile che alcune visite ai siti Web rientrino in gran parte sotto la protezione di DNSSEC.
Paul Vixie, presidente della Consorzio Sistemi Internet , che gestisce BIND, il software più comunemente utilizzato per elaborare i messaggi DNS, si aspetta che il passaggio a DNSSEC vada a gonfie vele. Con .gov e .org firmati, c'è finalmente un mercato per la tecnologia e i servizi DNSSEC, afferma. Ora che altri stanno implementando DNSSEC, molti altri vorranno occuparsi della fornitura di soluzioni DNSSEC, e questo a sua volta consentirà a un sacco di persone che si prendono cura del recinto di scendere finalmente e unirsi a noi.
Lo stesso Kaminsky era inizialmente neutrale su DNSSEC come possibile soluzione al difetto che aveva scoperto con DNS. Ora vede DNSSEC come una buona soluzione, ma avverte che c'è ancora del lavoro da fare per aiutarlo a crescere. Cosa più importante, dice: altri domini radice, che sono al centro di tutte le transazioni DNS, devono utilizzare DNSSEC. Sebbene il DNS non sia mai stato progettato per essere al centro dell'autenticazione su Internet, lo è ed è ora di iniziare a trattarlo in questo modo, aggiunge Kaminsky.
Mohan dice che spera che più domini implementeranno presto DNSSEC. È quasi ora che il DNS diventi più sicuro, dice. L'integrità del traffico DNS inizia a essere messa in discussione con l'avvento di phishing, botnet e cose del genere. Ecco una cosa concreta che si può fare che ha dimostrato di eliminare un problema chiaro.