Po 11 měsících vývoje konsorcium ISC uvolňuje první stabilní verzi nové významné větve DNS serveru BIND 9.16. Podpora větve 9.16 bude vykonávána po dobu tří let do druhého čtvrtletí 2023 v rámci rozšířeného cyklu podpory. Aktualizace pro předchozí LTS větev 9.11 budou pokračovat až do prosince 2021. Podpora větve 9.14 skončí za tři měsíce.
Hlavní :
- Byl přidán KASP (Politika klíčů a podpisů), což je zjednodušený způsob správy klíčů a digitálních podpisů DNSSEC, založený na pravidlech definovaných pomocí direktivy „dnssec-policy“. Tato direktiva umožňuje nastavit generaci nových klíčů pro DNS zóny a automatické použití klíčů ZSK a KSK.
- Byla zásadně přepracována síťová podsystem, která byla převedena na mechanismus asynchronního zpracování požadavků implementovaný na základě knihovny .
Přepracování zatím nepřineslo viditelné změny, ale v budoucích vydáních umožní provést některá zásadní vylepšení výkonu a přidat podporu novým protokolům, jako je DNS over TLS. - Zlepšen proces správy důvěryhodných vazeb DNSSEC (Trust anchor, vazba na zónu otevřeného klíče pro ověřování této zóny). Místo nastavení trusted-keys a managed-keys, které jsou nyní označeny jako zastaralé, byla navržena nová direktiva trust-anchors, která umožňuje spravovat oba typy klíčů.
Při použití trust-anchors se klíčovým slovem initial-key je chování této direktivy identické jako u managed-keys, tj. určuje nastavení důvěryhodné vazby v souladu s RFC 5011. Při použití trust-anchors se klíčovým slovem static-key je chování shodné s direktivou trusted-keys, tj. určuje trvalý klíč, který se neaktualizuje automaticky. Dále v trust-anchors jsou nabízeny další dvě klíčová slova initial-ds a static-ds, která umožňují použití důvěryhodných vazeb ve formátu (Delegation Signer) místo DNSKEY, což umožňuje nastavit vazby pro ještě nepublikované klíče (v budoucnu plánuje organizace IANA používat formát DS pro klíče kořenových zón).
- Do utilit dig, mdig a delv byla přidána možnost „+yaml“ pro výstup ve formátu YAML.
- Do utilit dig byla přidána možnost „+[no]unexpected“, která umožňuje přijímat odpovědi od hostitelů, kteří se liší od serveru, jemuž byl požadavek odeslán.
- Do nástroje dig byla přidána možnost „+[no]expandaaaa“, díky které se IPv6 adresy ve záznamech AAAA zobrazují v plném 128-bitovém formátu, nikoli v RFC 5952.
- Přidána možnost přepínání skupin kanálů statistiky.
- Záznamy DS a CDS se nyní generují pouze na základě hashů SHA-256 (generace na základě SHA-1 byla zastavena).
- Pro DNS Cookie (RFC 7873) je ve výchozím nastavení používán algoritmus SipHash 2-4, podpora HMAC-SHA byla zastavena (AES zůstává).
- Výstup příkazů dnssec-signzone a dnssec-verify je nyní směrován do standardního výstupního proudu (STDOUT), a v STDERR se zobrazují pouze informace o chybách a varováních (při použití možnosti „-f“ se také zobrazuje podepsaná zóna). Byla přidána možnost „-q“ pro potlačení výstupu.
- Byl přepracován kód validace DNSSEC, který se zbavil duplicity kódu s jinými subsystémy.
- Pro výstup statistik ve formátu JSON se nyní může používat pouze knihovna JSON-C. Možnost configure „—with-libjson“ byla přejmenována na „—with-json-c“.
- Ve skriptu configure už není ve výchozím nastavení nastavena možnost „—sysconfdir“ na /etc a „—localstatedir“ na /var, pokud není nastavena možnost „—prefix“. Nyní se ve výchozím nastavení používají cesty $prefix/etc a $prefix/var, jak je uvedeno v Autoconf.
- Byl odstraněn kód s implementací služby DLV (Domain Look-aside Verification, možnost dnssec-lookaside), která byla vyhlášena za zastaralou v BIND 9.12, a související zpracovatel dlv.isc.org byl vypnut v roce 2017. Odstranění DLV umožnilo zbavit kód BIND zbytečných složitostí.
Zdroj: opennet.ru
