NLnet Labs lancia Cascade beta 1, firmatario DNSSEC nascosto, per test pubblici

NLnet Labs ha reso disponibile per i test pubblici la prima versione beta di Cascade, il suo nuovo firmatario DNSSEC nascosto appositamente progettato. La release, nome in codice "Slàinte mhath", è stata annunciata il 5 giugno 2026 dopo un'anteprima alla riunione DNS OARC 46 a Edimburgo a maggio. Cascade è progettato per aggiungere automaticamente firme DNSSEC ai dati di zona DNS, senza che gli operatori debbano gestire manualmente il processo di firma. Il team di progetto descrive questa beta come la prima di una serie di release che aggiungeranno le funzionalità rimanenti necessarie per l'uso in produzione, e sta attivamente cercando feedback dalla comunità attraverso il proprio forum e GitHub, con Codeberg che seguirà più avanti quest'anno dopo la migrazione.

Cascade è in fase di sviluppo perché il firmatario open source esistente OpenDNSSEC raggiungerà la fine del supporto a ottobre 2027. Fino a quella data, OpenDNSSEC riceverà solo correzioni di bug critici e aggiornamenti di sicurezza, senza nuove funzionalità. Cascade condivide lo stesso approccio generale di OpenDNSSEC: è un firmatario nascosto "bump-in-the-wire", il che significa che si trova tra la fonte autorevole dei dati DNS e il DNS pubblico, aggiungendo in modo trasparente le firme DNSSEC. Tuttavia, Cascade è scritto in Rust, un linguaggio di programmazione memory-safe, ed è stato costruito pensando alle moderne esigenze operative, inclusa un'osservabilità a grana fine. Gli sviluppatori hanno applicato le lezioni apprese da OpenDNSSEC, hanno utilizzato impostazioni predefinite sensate basate sulle migliori pratiche attuali e hanno fornito una nuova interfaccia a riga di comando che mira a essere chiara, trasparente e semplice. Cascade offre anche funzionalità integrate di pre-firma e hook di revisione pre-pubblicazione. Lo sviluppo nell'ultimo anno è stato supportato da sovvenzioni della Sovereign Tech Agency e del Nominet DNS Fund, e si prevede che il progetto diventi autosufficiente attraverso accordi di supporto con organizzazioni che eseguono Cascade in infrastrutture critiche.

La versione beta non è retrocompatibile con le versioni alpha precedenti, quindi i tester esistenti devono eseguire un backup della loro installazione attuale e ricominciare da zero. Rispetto all'ultima alpha (alpha 5), la beta contiene circa 1,5 volte più righe di codice Rust, 1,75 volte più documentazione per l'utente finale, 2.000 nuove righe di codice di test di integrazione, 221 pull request unite e 114 issue chiuse. Sette contributori hanno toccato 251 file in 363 commit. In totale, sono stati modificati 125 file, con 7.302 righe aggiunte e 5.882 righe eliminate, e 47 file rimossi. Il cambiamento interno più significativo è una riscrittura completa del nucleo di Cascade. La precedente architettura event producer-consumer è stata sostituita da un'architettura basata su macchina a stati, che mantiene ogni pipeline di zona in uno stato coerente in ogni momento. Questo risolve i problemi di stato incoerente osservati nelle versioni alpha.

Le nuove funzionalità della beta 1 coprono diverse aree operative importanti. La firma incrementale ora funziona out of the box, il che significa che quando una zona cambia, Cascade rigenera solo le firme DNSSEC che devono effettivamente cambiare, invece di ri-firmare l'intera zona ogni volta. Questo riduce il carico su un modulo di sicurezza hardware (HSM) e produce messaggi di aggiornamento molto più piccoli per i nameserver a valle. In un esempio di temporizzazione, la firma completa di una zona con 21.587.503 record ha richiesto poco meno di un minuto, mentre una successiva ri-firma incrementale ha richiesto solo 39 secondi. A meno che un operatore non scelga la politica seriale "keep", Cascade ri-firma automaticamente parti di una zona in fasi a intervalli regolari per mantenere fresche le firme, distribuendo il carico di lavoro in modo deterministico piuttosto che aggiungendo jitter casuale. La beta di Cascade persiste anche i diff IXFR generati e l'intera zona firmata su disco, quindi un riavvio non costringe i nameserver a valle a recuperare di nuovo l'intera zona tramite AXFR. Il supporto per l'autenticazione dei messaggi TSIG è stato aggiunto sia per i trasferimenti di zona in entrata che in uscita, consentendo agli operatori di limitare l'accesso a parti note. Cascade ora può servire IXFR downstream, non solo ricevere IXFR upstream, e ha una migliore compatibilità con i nameserver BIND, correggendo i problemi di NOTIFY DNS. La beta aggiunge anche il supporto per l'analisi di file di zona contenenti tipi di record come IPSECKEY, RP, OPENPGPKEY, SSHFP e TLSA. La funzionalità di revisione è stata estesa: le impostazioni di policy sono state sostituite con un'opzione review.mode più chiara (off, manual o script), una nuova impostazione review.on-reject consente a un operatore di fermarsi e ispezionare manualmente una zona che uno script rifiuta, e un nuovo comando cascade zone maintenance enable blocca nuove operazioni consentendo al contempo il completamento del lavoro in corso. Infine, la beta espone un set di base di metriche Prometheus, inclusi gauge per il numero di zone configurate, caricate e attive.

Per zone più piccole e che cambiano raramente, come cascade.nlnetlabs.nl, la beta è già superiore alla serie alpha ed è abbastanza buona per un ambiente di test. Il team di NLnet Labs la esegue in produzione da sé, ma non consiglia ancora ad altri di farlo. Per zone più grandi o che cambiano rapidamente, resta più lavoro. Le lacune note includono un uso elevato di memoria durante la firma incrementale, una firma iniziale completa più lenta e la firma HSM rispetto all'alpha (la firma parallelizzata non è ancora stata ripristinata) e l'accumulo di diff IXFR downstream senza alcun meccanismo di purge, che farà crescere l'uso di disco e memoria fino a quando una versione beta successiva non aggiungerà la pulizia. Gli sviluppatori sottolineano che la prontezza per la produzione sta arrivando: l'architettura di base è ora solida e il team dedicato può concentrarsi sulla chiusura delle lacune rimanenti. La tabella di marcia include più test, miglioramenti della documentazione, pulizia dei vecchi diff IXFR, aggiunta di comandi CLI mancanti come cascade hsm remove, riduzione dell'uso di memoria, estensione delle metriche Prometheus, ri-parallelizzazione della firma completa della zona, miglioramento della migrazione da configurazioni di firma esistenti e fornitura di maggiori informazioni sulle azioni attuali e future di Cascade. Per i proprietari di siti web e i team IT che seguono questo sviluppo, l'uso di un resolver DNS crittografato privacy-first come AEU DNS può aiutare a garantire che le zone firmate DNSSEC siano validate correttamente sulla tua rete, aggiungendo un ulteriore livello di protezione contro lo spoofing DNS.