Dopo 11 mesi di sviluppo, il consorzio ISC ha rilasciato la prima versione stabile della nuova importante branca del server DNS BIND 9.16. Il supporto per la branca 9.16 sarà fornito per tre anni fino al secondo trimestre del 2023 nell'ambito del ciclo di supporto esteso. Gli aggiornamenti per la precedente branca LTS 9.11 continueranno a essere rilasciati fino a dicembre 2021. Il supporto per la branca 9.14 terminerà tra tre mesi.
Principali :
- È stato aggiunto KASP (Key and Signing Policy), un modo semplificato per gestire le chiavi e le firme digitali DNSSEC, basato sulla definizione di regole stabilite tramite la direttiva "dnssec-policy". Questa direttiva consente di configurare la generazione delle nuove chiavi necessarie per le zone DNS e l'applicazione automatica delle chiavi ZSK e KSK.
- È stata notevolmente riprogettata la sottosistema di rete, che è stata convertita in un meccanismo di elaborazione asincrona delle richieste, realizzato sulla base della libreria .
Questa riprogettazione non ha ancora portato a cambiamenti visibili, ma nelle future versioni permetterà di implementare alcune ottimizzazioni significative delle prestazioni e di aggiungere supporto per nuovi protocolli, come DNS over TLS. - È stato migliorato il processo di gestione delle ancore di fiducia DNSSEC (Trust anchor, chiave pubblica legata alla zona per l'autenticazione di quella zona). Invece delle impostazioni trusted-keys e managed-keys, ora dichiarate obsolete, è stata proposta una nuova direttiva trust-anchors, che consente di gestire entrambi i tipi di chiavi.
Quando si utilizza trust-anchors con la parola chiave initial-key, il comportamento di questa direttiva è identico a managed-keys, ossia definisce la configurazione dell'ancora di fiducia secondo RFC 5011. Quando si utilizza trust-anchors con la parola chiave static-key, il comportamento corrisponde alla direttiva trusted-keys, ossia definisce una chiave permanente che non viene aggiornata automaticamente. Inoltre, in trust-anchors vengono proposte altre due parole chiave initial-ds e static-ds, che consentono di utilizzare ancore di fiducia nel formato (Delegation Signer) invece di DNSKEY, permettendo la configurazione delle ancore per chiavi non ancora pubblicate (in futuro, l'organizzazione IANA prevede di utilizzare il formato DS per le chiavi delle zone radice).
- Nelle utility dig, mdig e delv è stata aggiunta l'opzione "+yaml" per l'output in formato YAML.
- Nell'utilità dig è stata aggiunta l'opzione "+[no]unexpected", che consente di ricevere risposte da host diversi dal server al quale è stata inviata la richiesta.
- Nell'utilità dig è stata aggiunta l'opzione "+[no]expandaaaa", al cui attivazione gli indirizzi IPv6 nei record AAAA vengono mostrati nella loro rappresentazione completa a 128 bit, anziché nel formato RFC 5952.
- È stata aggiunta la possibilità di switching dei gruppi di canali statistici.
- I record DS e CDS vengono ora generati esclusivamente sulla base degli hash SHA-256 (la generazione basata su SHA-1 è stata interrotta).
- Per DNS Cookie (RFC 7873), per impostazione predefinita è stato utilizzato l'algoritmo SipHash 2-4, mentre il supporto per HMAC-SHA è stato interrotto (AES è mantenuto).
- L'output dei comandi dnssec-signzone e dnssec-verify ora viene indirizzato al flusso di output standard (STDOUT), mentre in STDERR vengono visualizzate solo le informazioni sugli errori e sugli avvertimenti (specificando l'opzione "-f", viene visualizzata anche la zona firmata). È stata aggiunta l'opzione "-q" per silenziare l'output.
- È stato riprogettato il codice di validazione di DNSSEC, rimuovendo la duplicazione del codice con altre sottosistemi.
- Per l'output delle statistiche in formato JSON ora può essere utilizzata solo la libreria JSON-C. L'opzione di configurazione "—with-libjson" è stata rinominata in "—with-json-c".
- Nello script di configurazione non viene più impostato per impostazione predefinita il parametro "—sysconfdir" in /etc, e "—localstatedir" in /var, se non viene specificato il parametro "—prefix". Ora vengono utilizzati i percorsi $prefix/etc e $prefix/var, applicati in Autoconf.
- È stato rimosso il codice relativo all'implementazione del servizio DLV (Domain Look-aside Verification, opzione dnssec-lookaside), che era stato dichiarato obsoleto in BIND 9.12, e il gestore associato dlv.isc.org è stato disattivato nel 2017. La rimozione di DLV ha permesso di semplificare ulteriormente il codice di BIND.
Fonte: opennet.ru
