Uitrol van dnssec op root zone afgerond

De eerste digitale handtekening voor de dertien voornaamste serverclusters in de dns-hiërarchie van internet is uitgegeven. De stap moet het begin markeren van een veiliger root zone met volledige dnssec-implementatie.

De uitrol van DNS Security Extensions moet een man-in-the-middle-aanval voorkomen. Onder andere moeten de cache poisoning-aanvallen tot het verleden gaan behoren. Bij deze aanvallen werden internetters op dns-niveau doorgesluisd naar malafide sites. Voor volledige beveiliging dienen wel alle schakels vanaf de rootservers in de dns-hiërarchie en de servers van top-leveldomeinen tot de cacheservers die de uiteindelijke site voorschotelen op dnssec te zijn overgestapt.

Bij de root zone is die overstap zeven maanden geleden ingezet. De dertien rootservers zijn in mei feitelijk al overgestapt op dnssec, maar de Icann heeft nu ook een zogenaamde trust anchor gepubliceerd. Daarmee kan de uitwisseling van geldige certificaten of digitale handtekeningen voor de verificatie van dns-data beginnen.

"De uitgifte van de handtekening voor de root is de katalysator die nodig is voor de verdere uitrol van dnssec, vooral in de tld registries", zegt Paul Vixie, ceo van het Internet Systems Consortium. ISC is de beheerder van F-root, de grootste dns root-server.