- Door
- Arnout Veenman
- geplaatst op
- 15 augustus 2008 08:09 uur
DNSSEC en IPv6 allebei oplossing voor urgente problemen waar iedereen die met internet op internet direct of indirect mee te maken gaat krijgen. Ondanks dat gebeurt er veel te weinig om die oplossingen te implementeren. In deze podcast “Tot de bom barst” de vraag of we wachten tot de bom barst?
[audio:http://www.ispam.nl/wp-content/uploads/2008/08/podcast-20080814.mp3]
De uitgeschreven tekst van de podcast staat hieronder.
Podcast: Tot de bom barst
IPv6 wordt nog maar door weinig ISP’s ondersteunt en door nog minder ISP’s actief aangeboden en gebruikt. Ondertussen raken de IPv4 adressen langzaam maar zeker op en volgens Geoff Houston zullen op 28 december 2011 de RIR’s zoals RIPE en ARIN geen IPv4-adres meer te vergeven hebben. En wat dan?
DNSSEC wordt ook nog maar nauwelijks gebruikt, de root zone is op dit moment nog niet gesigneerd met behulp van DNSSEC, maar op dit moment zijn er ook nog nauwelijks individuele registries die hun zonefile met behulp van DNSSEC hebben gesigneerd. Ondertussen maakt het Kaminsky DNS-lek ons pijnlijk duidelijk dat de DNS een zeer zwakke schakel is in vrijwel alles wat met beveiliging op internet te maken heeft.
Zowel IPv6 als DNSSEC zijn oplossing voor twee urgente problemen waarmee we op internet geconfronteerd worden. Wat beide problemen ook met elkaar te maken hebben is dat voor het goed functioneren van de oplossing ervoor het vereisen dat zoveel mogelijk verschillende partijen de oplossing implementeren.
Ondanks dat de tijd dringt gaan we allemaal door alsof er niks aan de hand is. Nu iedereen zijn DNS-servers gepatcht heeft hoor je niemand meer over de kwetsbaarheid van de DNS en over IPv6 hoor je bijna helemaal niks, op een enkel goed initiatief na en natuurlijk de IPv6 Taskforce die bezig is om de uitrol van IPv6 te bevorderen.
Waar zijn we helemaal mee bezig? Er zijn problemen die onze dringende aandacht vragen en wat doen we? We gedragen ons als een stelletje kikkers in een pan koud water die heel langzaam opwarmt en uiteindelijk zal gaan koken, maar net zoals de kikker niet wegspringt, omdat hij niet merkt dat die levend gekookt wordt. Wij gaan met de zelfde wijze om met DNSSEC en IPv6.
Alleen wat staat ons te wachten nu we op deze manier met deze problemen omgaan? Er zijn een aantal situaties denkbaar, in het beste geval kunnen we af met de IPv4 adressen die we hebben, gaat de overstap naar IPv6 ad-hoc toch soepel en explodeert de omzet van netwerk hardware fabrikanten. En daarnaast is het te hopen dat er geen nieuwe zwakheden in het DNS-protocol worden gevonden.
Het lijkt mij echter waarschijnlijker dat er grote problemen ontstaan door het gebrek aan IPv4-adressen en dat de overgang naar IPv6 niet voor iedereen even soepel zal gaan. En nu beveiliging op internet in het algemeen telkens beter wordt, begint de DNS een interessant punt te worden om een aanval op te richten.
De vraag is: Worden we verstandig of wachten we tot de bom barst?