Zensurresistentes Domain-System GNS erhält den Status eines vorgeschlagenen Standards

Das IETF-Komitee (Internet Engineering Task Force), das sich mit der Entwicklung von Internetprotokollen und -architekturen beschäftigt, hat die RFC für das GNS (GNU Name System) abgeschlossen. Dieses wird vom Projekt GNUnet als eine vollständig dezentralisierte und zensurresistente Alternative zu DNS entwickelt. Die Spezifikation, die als RFC-9498 veröffentlicht wurde, hat den Status „Vorgeschlagener Standard“ erhalten. Eine vollständig konforme Implementierung des GNS, die dem veröffentlichten RFC entspricht, ist Teil der GNUnet-Plattform 0.20.0 und zusätzlich im Code-Repository des Projekts GNUnet-Go verfügbar.

GNS kann parallel zu DNS verwendet werden und findet Anwendung in traditionellen Anwendungen wie Webbrowsern. Die Integrität und Unveränderlichkeit der Einträge wird durch kryptografische Mechanismen sichergestellt. Im Gegensatz zu DNS verwendet GNS anstelle einer baumartigen Hierarchie Server einen gerichteten Graphen. Die Namensumwandlung ist ähnlich wie bei DNS, jedoch werden die Anfragen und Antworten mit Wahrung der Privatsphäre durchgeführt – der anfragende Knoten weiß nicht, an wen die Antwort gesendet wird, und Transitknoten sowie externe Beobachter können die Anfragen und Antworten nicht entschlüsseln.

Der DNS-Zone in GNS wird durch ein Paar aus öffentlichem und privatem ECDSA-Schlüsseln basierend auf der elliptischen Kurve Curve25519 definiert. Die Verwendung von Curve25519 wird von einigen als seltsamer Schritt betrachtet, da üblicherweise für ECDSA andere elliptische Kurven verwendet werden, und in Kombination mit Curve25519 oft der modernere, sicherere und schnellere Ed25519-Algorithmus für digitale Signaturen zum Einsatz kommt. Auch die Wahl der Schlüssellänge wirft Bedenken auf – 32 Byte anstelle von 64 Byte, die normalerweise für Ed25519 verwendet werden, sowie der Einsatz von kaskadierender symmetrischer Verschlüsselung unter Verwendung der Algorithmen AES und TwoFish im CFB-Modus.

Dieser Ansatz erklärt sich durch die Notwendigkeit, hierarchische Schlüssel zu implementieren, die es ermöglichen, den Wurzel-Öffentlich-Schlüssel zu verwenden, um einen Tochter-Öffentlichen-Schlüssel zu extrahieren, indem die Linearität der Kurve Curve25519 genutzt wird. Dieses Merkmal ermöglicht das Erhalten von Tochter-Öffentlichen-Schlüsseln ohne Kenntnis der geschützten Wurzel-Schlüssel. Diese Technik wird auch in Bitcoin angewendet. Die Schlüssellänge von 32 Byte wurde gewählt, um sicherzustellen, dass der Schlüssel in einen DNS-Eintrag passt.

Quelle: opennet.ru