Nach 11 Monaten Entwicklung hat das Konsortium ISC die erste stabile Version des neuen bedeutenden Zweigs des DNS-Servers BIND 9.16 veröffentlicht. Der Support für den Zweig 9.16 wird bis zum zweiten Quartal 2023 im Rahmen eines erweiterten Wartungszyklus fortgeführt. Updates für den vorherigen LTS-Zweig 9.11 werden bis Dezember 2021 weiterhin veröffentlicht. Der Support für den Zweig 9.14 endet in drei Monaten.
Haupt :
- KASP (Key and Signing Policy) wurde hinzugefügt, ein vereinfachter Weg zur Verwaltung von Schlüsseln und digitalen Signaturen für DNSSEC, basierend auf Regeln, die mit der Direktive „dnssec-policy“ definiert sind. Diese Direktive ermöglicht die Konfiguration der Schlüsselerzeugung für DNS-Zonen und die automatische Anwendung der Schlüssel ZSK und KSK.
- Das Netzwerk-Subsystem wurde erheblich überarbeitet und nutzt nun einen Mechanismus zur asynchronen Verarbeitung von Anfragen, der auf der Bibliothek basiert. .
Diese Überarbeitung hat bisher zu keinen sichtbaren Änderungen geführt, wird jedoch in zukünftigen Versionen die Möglichkeit bieten, wesentliche Leistungsoptimierungen zu realisieren und die Unterstützung neuer Protokolle wie DNS über TLS hinzuzufügen. - Der Prozess der Verwaltung von DNSSEC-Vertrauensanker (Trust anchor, ein an der Zone gebundener öffentlicher Schlüssel zur Authentifizierung dieser Zone) wurde verbessert. Anstelle der Einstellungen trusted-keys und managed-keys, die jetzt als veraltet gelten, wurde eine neue Direktive trust-anchors eingeführt, die die Verwaltung beider Schlüsseltypen ermöglicht.
Bei Verwendung von trust-anchors mit dem Schlüsselwort initial-key verhält sich diese Direktive identisch zu managed-keys, d.h. sie definiert die Konfiguration des Vertrauensankers gemäß RFC 5011. Bei Verwendung von trust-anchors mit dem Schlüsselwort static-key entspricht das Verhalten der Direktive trusted-keys, d.h. sie definiert einen permanenten Schlüssel, der nicht automatisch aktualisiert wird. In trust-anchors werden auch zwei weitere Schlüsselwörter initial-ds und static-ds angeboten, die es ermöglichen, Vertrauensanker im Format (Delegation Signer) anstelle von DNSKEY zu verwenden, was die Konfiguration von Bindungen für noch nicht veröffentlichte Schlüssel ermöglicht (in Zukunft plant die IANA, das DS-Format für Schlüssel von Root-Zonen zu verwenden).
- In die Tools dig, mdig und delv wurde die Option „+yaml“ für die Ausgabe im YAML-Format hinzugefügt.
- In das Tool dig wurde die Option „+[no]unexpected“ hinzugefügt, die die Annahme von Antworten von Hosts erlaubt, die sich von dem Server unterscheiden, an den die Anfrage gesendet wurde.
- In das Tool dig wurde die Option „+[no]expandaaaa“ hinzugefügt, mit der IPv6-Adressen in AAAA-Einträgen in der vollständigen 128-Bit-Darstellung angezeigt werden, anstatt im RFC 5952-Format.
- Die Möglichkeit, Gruppen von Statistikkanälen umzuschalten, wurde hinzugefügt.
- DS- und CDS-Einträge werden jetzt nur auf Basis von SHA-256-Hashes generiert (die Generierung auf Basis von SHA-1 wurde eingestellt).
- Für DNS Cookies (RFC 7873) wurde standardmäßig der Algorithmus SipHash 2-4 aktiviert, während die Unterstützung für HMAC-SHA eingestellt wurde (AES bleibt erhalten).
- Die Ausgabe der Befehle dnssec-signzone und dnssec-verify wird nun an den Standardausgabestrom (STDOUT) geleitet, während nur Fehler- und Warnmeldungen an STDERR ausgegeben werden (bei Angabe der Option „-f“ wird auch die signierte Zone ausgegeben). Um die Ausgabe zu dämpfen, wurde die Option „-q“ hinzugefügt.
- Der Code zur Validierung von DNSSEC wurde überarbeitet, um Code-Duplikate mit anderen Subsystemen zu beseitigen.
- Für die Ausgabe von Statistiken im JSON-Format kann jetzt nur noch die Bibliothek JSON-C verwendet werden. Die configure-Option „—with-libjson“ wurde in „—with-json-c“ umbenannt.
- Im Skript configure wird der Parameter „—sysconfdir“ standardmäßig nicht mehr auf /etc gesetzt, und „—localstatedir“ wird nicht auf /var gesetzt, es sei denn, der Parameter „—prefix“ wird angegeben. Standardmäßig werden nun die Pfade $prefix/etc und $prefix/var verwendet, die in Autoconf angewendet werden.
- Der Code zur Implementierung des DLV-Dienstes (Domain Look-aside Verification, Option dnssec-lookaside), der in BIND 9.12 als veraltet erklärt wurde, wurde entfernt, und der damit verbundene Handler dlv.isc.org wurde 2017 abgeschaltet. Die Beseitigung von DLV hat es ermöglicht, den BIND-Code von unnötigen Komplikationen zu befreien.
Quelle: opennet.ru
