Das zensurresistente Domainnamen-System GNS hat den Status eines vorgeschlagenen Standards erhalten

Das IETF-Komitee (Internet Engineering Task Force), das sich mit der Entwicklung von Protokollen und der Architektur des Internets beschäftigt, hat die Bildung eines RFC für das GNS (GNU Name System) abgeschlossen, das vom Projekt GNUnet als vollständig dezentralisierte und zensurresistente Alternative zu DNS entwickelt wird. Die als RFC-9498 veröffentlichte Spezifikation hat den Status "Vorgeschlagener Standard" erhalten. Eine vollständig konforme Implementierung von GNS, die den veröffentlichten RFC berücksichtigt, ist Teil der GNUnet-Plattform 0.20.0 und zusätzlich im Quellcode des Projekts GNUnet-Go verfügbar.

GNS kann parallel zu DNS eingesetzt werden und in traditionellen Anwendungen wie Webbrowsern verwendet werden. Die Integrität und Unveränderbarkeit der Einträge wird durch den Einsatz kryptografischer Mechanismen gewährleistet. Im Gegensatz zu DNS verwendet GNS anstelle einer baumartigen Hierarchie Server einen gerichteten Graphen. Die Namensumwandlung ähnelt der von DNS, jedoch werden Anfragen und Antworten unter Wahrung der Privatsphäre durchgeführt – der anfragende Knoten weiß nicht, an wen die Antwort gegeben wird, und transitierende Knoten sowie Dritte können die Anfragen und Antworten nicht entschlüsseln.

Eine DNS-Zone in GNS wird durch ein Paar aus einem öffentlichen und einem privaten ECDSA-Schlüssel basierend auf der elliptischen Kurve Curve25519 definiert. Die Verwendung von Curve25519 wird von einigen als etwas seltsamer Schritt wahrgenommen, da für ECDSA normalerweise andere Typen elliptischer Kurven verwendet werden, und im Zusammenhang mit Curve25519 wird in der Regel der moderne und sicherere Ed25519-Algorithmus für digitale Signaturen verwendet, der schneller als ECDSA ist. Auch die Wahl der Schlüssellänge – 32 Bytes im Gegensatz zu den üblicherweise für Ed25519 verwendeten 64 Bytes – sowie die Anwendung einer kaskadierenden symmetrischen Verschlüsselung unter Verwendung von AES- und TwoFish-Algorithmen im CFB-Modus werfen aus der Sicht der Krypto-Sicherheit Fragen auf.

Ein solcher Ansatz wird durch die Notwendigkeit gerechtfertigt, hierarchische Schlüssel zu implementieren, die es ermöglichen, den Stammöffentlichen Schlüssel zur Ableitung untergeordneter öffentlicher Schlüssel zu verwenden, wobei die Linearität der Curve25519 ausgenutzt wird. Diese Besonderheit ermöglicht es, untergeordnete öffentliche Schlüssel ohne Kenntnis der privaten Stamm-Keys zu generieren. Diese Technik wird auch in Bitcoin verwendet. Die Größe des Schlüssels von 32 Bytes wurde gewählt, damit der Schlüssel in einen DNS-Eintrag passt.

Quelle: opennet.ru