Dopo 11 mesi di sviluppo, il consorzio ISC ha rilasciato la prima versione stabile della nuova significativa branca del server DNS BIND 9.16. Il supporto per la branca 9.16 sarà mantenuto per tre anni fino al secondo trimestre del 2023 nell'ambito di un ciclo di vita esteso. Gli aggiornamenti per la precedente brancha LTS 9.11 continueranno a essere rilasciati fino a dicembre 2021. Il supporto per la branca 9.14 terminerà tra tre mesi.
Principali :
- È stato aggiunto KASP (Key and Signing Policy), un modo semplificato per gestire chiavi e firme digitali DNSSEC, basato su regole stabilite tramite la direttiva «dnssec-policy». Questa direttiva consente di configurare la generazione di nuove chiavi necessarie per le zone DNS e l'applicazione automatica delle chiavi ZSK e KSK.
- La sottosistema di rete è stato sostanzialmente rielaborato, con un meccanismo di elaborazione asincrona delle richieste implementato sulla base di una libreria .
La rielaborazione non ha ancora portato a cambiamenti visibili, ma in futuri rilasci consentirà di realizzare alcune ottimizzazioni significative delle performance e di aggiungere supporto per nuovi protocolli, come DNS over TLS. - È stato migliorato il processo di gestione dei trust anchor DNSSEC (Trust anchor, chiave pubblica legata alla zona per verificare l'autenticità di questa zona). Invece delle impostazioni trusted-keys e managed-keys, ora dichiarate obsolete, è stata proposta una nuova direttiva trust-anchors, che consente di gestire entrambi i tipi di chiavi.
Quando si utilizza trust-anchors con la parola chiave initial-key, il comportamento di questa direttiva è identico a quello di managed-keys, ovvero definisce la configurazione del trust anchor secondo RFC 5011. Quando si utilizza trust-anchors con la parola chiave static-key, il comportamento corrisponde alla direttiva trusted-keys, ovvero definisce una chiave permanente che non viene aggiornata automaticamente. Inoltre, in trust-anchors sono state aggiunte due parole chiave, initial-ds e static-ds, che consentono di utilizzare i trust anchor nel formato (Delegation Signer) invece di DNSKEY, che consente di configurare i punti di fissaggio per chiavi non ancora pubblicate (in futuro, l'organizzazione IANA prevede di utilizzare il formato DS per le chiavi delle zone radice).
- Strumenti come dig, mdig e delv hanno introdotto l'opzione «+yaml» per l'output in formato YAML.
- Nello strumento dig è stata aggiunta l'opzione «+[no]unexpected», che consente di accettare risposte da host diversi dal server a cui è stata inviata la richiesta.
- Nell'utilità dig è stata aggiunta l'opzione «+[no]expandaaaa», specificando la quale gli indirizzi IPv6 nei record AAAA vengono mostrati nella loro rappresentazione completa a 128 bit, e non nel formato RFC 5952.
- Aggiunta la possibilità di commutare i gruppi di canali delle statistiche.
- I record DS e CDS ora vengono generati solo basandosi su hash SHA-256 (la generazione basata su SHA-1 è stata interrotta).
- Per i DNS Cookie (RFC 7873) è stato impostato di default l'algoritmo SipHash 2-4, mentre il supporto per HMAC-SHA è stato interrotto (AES è rimasto).
- L'output dei comandi dnssec-signzone e dnssec-verify ora viene diretto al flusso di output standard (STDOUT), mentre in STDERR vengono visualizzate solo informazioni sugli errori e avvertenze (specificando l'opzione «-f» viene anche visualizzata la zona firmata). Per silenziare l'output è stata aggiunta l'opzione «-q».
- Rivisitato il codice di validazione DNSSEC, che è stato eliminato dal codice duplicato con altre sottosistemi.
- Per visualizzare le statistiche in formato JSON, ora può essere utilizzata solo la libreria JSON-C. L'opzione di configurazione «—with-libjson» è stata rinominata in «—with-json-c».
- Nello script di configurazione non viene più impostato di default il parametro «—sysconfdir» in /etc e «—localstatedir» in /var, se non viene specificato il parametro «—prefix». Ora vengono utilizzati per default i percorsi $prefix/etc e $prefix/var, applicati in Autoconf.
- Eliminato il codice con l'implementazione del servizio DLV (Domain Look-aside Verification, opzione dnssec-lookaside), che era stato dichiarato obsoleto in BIND 9.12, e il relativo gestore dlv.isc.org è stato disattivato nel 2017. L'eliminazione del DLV ha permesso di semplificare il codice BIND.
Fonte: opennet.ru
