Perché gli operatori di domini di primo livello non possono più fare affidamento sulla speranza per DNSSEC

Il software open source è spesso il cavallo di battaglia poco appariscente nel rack dei server, l'operatore silenzioso nello stack e l'anima ribelle nella pipeline operativa. È testato a fondo e affidabile per buone ragioni, ma quando un'azienda o un registro critico dipende da esso, fare affidamento sulla buona volontà dei volontari non basta. Alex Band, Direttore dello Sviluppo Prodotto presso NLnet Labs, ha affermato che il supporto di livello enterprise da parte delle persone che hanno scritto il codice significa che non stai scommettendo la tua attività sulla generosità dei volontari; stai pagando per l'affidabilità, i miglioramenti continui e una persona reale da chiamare quando le cose vanno male. Questa responsabilità è esattamente ciò che manca a molte organizzazioni oggi.

L'idea che l'open source sia gratuito è fuorviante. È gratuito come un cane randagio: puoi portarlo a casa, ma devi nutrirlo, addestrarlo e portarlo di corsa dal veterinario quando ingoia qualcosa che non dovrebbe. Nel clima normativo attuale, la conformità aggiunge un altro livello. La NIS2, la direttiva UE sulla sicurezza delle reti e dell'informazione, impone obblighi più severi riguardo all'infrastruttura DNS, alla gestione degli incidenti e alla resilienza della supply chain in tutta l'Unione Europea. Per qualsiasi organizzazione che gestisce servizi DNS, stabilità, sicurezza e responsabilità non sono più opzionali.

Una delle pietre angolari silenziose di questo mondo è DNSSEC, acronimo di Domain Name System Security Extensions. DNSSEC aggiunge firme digitali ai record DNS in modo che i dispositivi possano verificare che una risposta non sia stata alterata. Firmare le zone, gestire i cicli di vita delle chiavi e mantenere intatte le catene di fiducia sono compiti meticolosi e continui. Quando DNSSEC fallisce, il risultato può essere interruzioni, perdita di fiducia e gravi danni reputazionali.

Per capire cosa tiene svegli gli operatori la notte, NLnet Labs ha chiesto a 16 operatori di domini di primo livello (TLD) quali sono le loro maggiori preoccupazioni. Le loro risposte rivelano lacune evidenti. Fiducia, continuità e conformità sono ora preoccupazioni di base, ma molti operatori costruiscono ancora l'infrastruttura attorno a eroismi individuali piuttosto che a processi verificabili che possano essere trasferiti e di cui ci si possa fidare oltre ogni singola persona. Il solo tempo di attività non basta più: gli operatori vogliono resilienza, osservabilità, responsabilità e una catena documentata di ripristino. Anche i modelli di supporto sono incoerenti. Circa il 50% dei TLD intervistati ha accordi formali sul livello di servizio o contratti di supporto, mentre circa il 35% ha dichiarato di avere qualcuno da chiamare, e circa il 15% è completamente abbandonato a se stesso se qualcosa si rompe.

L'indagine ha anche rilevato che osservabilità, validazione e pipeline verificabili spesso mancano. Molti TLD utilizzano strumenti di validazione manuale come DNSViz o script interni, e pochi hanno una visibilità completa, automatizzata e integrata tra ogni fase del processo di firma. Di conseguenza, spesso non sanno che qualcosa non va finché il danno non è fatto. Anche i piani di ripristino e fallback sono carenti. Sebbene ogni operatore TLD concordi sul fatto che il fallimento sia inevitabile, molti hanno dichiarato che le loro strategie di fallback sono poco chiare, non documentate o dipendono da conoscenza tribale detenuta da una singola persona.

Questi risultati hanno guidato il design di Cascade, un nuovo firmatario DNSSEC open source costruito da NLnet Labs sulla base del feedback di quei 16 TLD leader. I sistemi legacy non sono più all'altezza. Gli operatori sono stanchi di cron job falliti, che sono attività pianificate e automatizzate che si rompono silenziosamente, e di file di configurazione XML fragili. Gli auditor sono ancora meno indulgenti: richiedono piena visibilità, tracciabilità e processi che possano essere dimostrati sotto pressione. Cascade non è una bacchetta magica, ma rappresenta ciò che accade quando l'open source incontra l'ingegneria di livello professionale e il supporto nel mondo reale. Dà ai team i professionisti dalla loro parte quando gli auditor fanno domande difficili.

In conclusione, se DNSSEC fa parte del tuo percorso critico, firmare zone, gestire i cicli di vita delle chiavi o mantenere intatte le catene di fiducia per milioni di utenti, non puoi fare affidamento su strumenti obsoleti, codifica cowboy o operazioni eroiche. Hai bisogno di strumenti open source costruiti per la realtà aziendale di oggi, con supporto enterprise che comprenda il peso di ciò che stai proteggendo. NLnet Labs offre anche assistenza per migrare dal tuo sistema attuale a Cascade end-to-end. È così che costruisci fiducia e dormi sonni tranquilli.

Cascade viene lanciato ufficialmente il 7 ottobre all'OARC 45 a Stoccolma. Le organizzazioni interessate alle opzioni di supporto possono contattare Alex Band presso NLnet Labs. Per gli utenti Internet di tutti i giorni e i proprietari di siti web, questo è un promemoria che DNSSEC è efficace solo se il tuo resolver lo controlla. Usare un servizio DNS crittografato che mette la privacy al primo posto come AEU DNS aggiunge un ulteriore livello di protezione perché valida le firme DNSSEC per conto tuo, rifiutando risposte che sono state alterate.