Nach 11 Monaten Entwicklung hat das Konsortium ISC die erste stabile Version des neuen wichtigen Zweigs des DNS-Servers BIND 9.16 veröffentlicht. Die Unterstützung des Zweigs 9.16 wird bis zum zweiten Quartal 2023 im Rahmen eines erweiterten Wartungszyklus bereitgestellt. Updates für den vorherigen LTS-Zweig 9.11 werden bis Dezember 2021 veröffentlicht. Die Unterstützung des Zweigs 9.14 endet in drei Monaten.
Haupt- :
- KASP (Key and Signing Policy) wurde hinzugefügt, eine vereinfachte Möglichkeit zur Verwaltung von Schlüsseln und digitalen Signaturen für DNSSEC, die auf vordefinierten Regeln basiert, die durch die Direktive „dnssec-policy“ definiert sind. Mit dieser Direktive kann die Generierung neuer erforderlicher Schlüssel für DNS-Zonen konfiguriert und die Anwendung von ZSK- und KSK-Schlüsseln automatisiert werden.
- Das Netzwerksubsystem wurde grundlegend überarbeitet und auf einen Mechanismus zur asynchronen Verarbeitung von Anfragen umgestellt, der auf der Bibliothek basiert .
Die Überarbeitung hat bisher zu keinen sichtbaren Änderungen geführt, wird jedoch in zukünftigen Versionen die Umsetzung erheblicher Leistungsoptimierungen ermöglichen und die Unterstützung neuer Protokolle wie DNS über TLS hinzufügen. - Der Prozess der Verwaltung von DNSSEC-Vertrauensanker (Trust Anchor, der mit der Zone verbundene öffentliche Schlüssel zur Authentifizierung dieser Zone) wurde verbessert. Anstelle der jetzt als veraltet erklärten Einstellungen trusted-keys und managed-keys wurde eine neue Direktive trust-anchors eingeführt, die die Verwaltung beider Schlüsseltypen ermöglicht.
Bei Verwendung von trust-anchors mit dem Schlüsselwort initial-key verhält sich diese Direktive identisch wie managed-keys, d.h. sie definiert die Einstellung des Vertrauensankers gemäß RFC 5011. Bei Verwendung von trust-anchors mit dem Schlüsselwort static-key entspricht das Verhalten der Direktive trusted-keys, d.h. sie definiert einen permanenten Schlüssel, der nicht automatisch aktualisiert wird. In trust-anchors werden auch zwei weitere Schlüsselwörter initial-ds und static-ds angeboten, die die Verwendung von Vertrauensankern im Format (Delegation Signer) anstelle von DNSKEY ermöglichen, was die Konfiguration von Bindungen für noch nicht veröffentlichte Schlüssel ermöglicht (in Zukunft plant die Organisation IANA, das DS-Format für Schlüssel von Root-Zonen zu verwenden).
- In die Tools dig, mdig und delv wurde die Option „+yaml“ für die Ausgabe im YAML-Format hinzugefügt.
- Im Tool dig wurde die Option „+[no]unexpected“ hinzugefügt, die den Empfang von Antworten von Hosts erlaubt, die sich von dem Server unterscheiden, an den die Anfrage gesendet wurde.
- In das Dienstprogramm dig wurde die Option «+[no]expandaaaa» hinzugefügt, mit der IPv6-Adressen in AAAA-Einträgen im vollständigen 128-Bit-Format angezeigt werden, anstatt im RFC 5952-Format.
- Die Möglichkeit, Gruppen von Statistikkanälen umzuschalten, wurde hinzugefügt.
- DS- und CDS-Einträge werden jetzt nur auf Basis von SHA-256-Hashes generiert (die Generierung auf Basis von SHA-1 wurde eingestellt).
- Für DNS-Cookie (RFC 7873) wird standardmäßig der SipHash 2-4 Algorithmus verwendet, und die Unterstützung für HMAC-SHA wurde eingestellt (AES bleibt erhalten).
- Die Ausgaben der Befehle dnssec-signzone und dnssec-verify werden jetzt an den Standardausgabestrom (STDOUT) geleitet, während in STDERR nur Fehlermeldungen und Warnungen ausgegeben werden (bei Angabe der Option «-f» wird auch die signierte Zone ausgegeben). Um die Ausgabe zu dämpfen, wurde die Option «-q» hinzugefügt.
- Der DNSSEC-Validierungscode wurde überarbeitet und von doppeltem Code mit anderen Subsystemen befreit.
- Für die Ausgabe von Statistiken im JSON-Format kann jetzt nur die JSON-C-Bibliothek verwendet werden. Die Configure-Option «—with-libjson» wurde in «—with-json-c» umbenannt.
- Im Configure-Skript wird der Parameter «—sysconfdir» nicht mehr standardmäßig auf /etc gesetzt und «—localstatedir» auf /var, wenn der Parameter «—prefix» nicht angegeben wird. Standardmäßig werden nun die Pfade $prefix/etc und $prefix/var verwendet, die in Autoconf angewendet werden.
- Der Code zur Implementierung des DLV-Dienstes (Domain Look-aside Verification, Option dnssec-lookaside) wurde entfernt, der in BIND 9.12 als veraltet erklärt wurde, und der zugehörige Handler dlv.isc.org wurde 2017 abgeschaltet. Die Entfernung von DLV hat es ermöglicht, den BIND-Code von unnötigen Komplikationen zu befreien.
Quelle: opennet.ru
