Na 11 maanden ontwikkeling heeft het ISC-consortium de eerste stabiele release van de nieuwe belangrijke tak van de DNS-server BIND 9.16 aangekondigd. Ondersteuning voor de tak 9.16 wordt gedurende drie jaar verleend tot het tweede kwartaal van 2023 in het kader van een uitgebreid ondersteuningscyclus. Updates voor de vorige LTS-tak 9.11 blijven tot december 2021 verschijnen. De ondersteuning voor de tak 9.14 wordt over drie maanden stopgezet.
Belangrijkste :
- KASP (Key and Signing Policy) is toegevoegd, een vereenvoudigde manier om sleutels en digitale handtekeningen voor DNSSEC te beheren, gebaseerd op het instellen van regels gedefinieerd met behulp van de 'dnssec-policy' richtlijn. Deze richtlijn maakt het mogelijk om de generatie van benodigde nieuwe sleutels voor DNS-zones in te stellen en de automatische toepassing van ZSK- en KSK-sleutels.
- Het netwerksubsystem is aanzienlijk herzien en overgezet naar een mechanisme voor asynchrone verwerking van aanvragen, geïmplementeerd op basis van een bibliotheek .
De herziening heeft voorlopig niet geleid tot zichtbare veranderingen, maar in toekomstige releases zal het de mogelijkheid bieden om aanzienlijke prestatieverbeteringen te realiseren en ondersteuning voor nieuwe protocollen, zoals DNS over TLS, toe te voegen. - Het proces voor het beheer van DNSSEC-vertrouwensankers is verbeterd (Trust anchor, een gekoppeld open sleutel voor de authenticatie van deze zone). In plaats van de instellingen trusted-keys en managed-keys, die nu als verouderd worden beschouwd, is er een nieuwe richtlijn trust-anchors voorgesteld, waarmee beide typen sleutels kunnen worden beheerd.
Bij het gebruik van trust-anchors met het zoekwoord initial-key is het gedrag van deze richtlijn identiek aan managed-keys, dat wil zeggen dat het de configuratie van het vertrouwensanker bepaalt volgens RFC 5011. Bij het gebruik van trust-anchors met het zoekwoord static-key, is het gedrag vergelijkbaar met de richtlijn trusted-keys, dat wil zeggen dat het een vaste sleutel bepaalt die niet automatisch wordt bijgewerkt. Tevens worden in trust-anchors nog twee zoekwoorden aangeboden: initial-ds en static-ds, die het gebruik van vertrouwensankers in het formaat (Delegation Signer) in plaats van DNSKEY, waarmee het mogelijk is om bindings in te stellen voor nog niet gepubliceerde sleutels (in de toekomst is het de planning van IANA om het DS-formaat te gebruiken voor de sleutels van primaire zones).
- In de hulpprogramma's dig, mdig en delv is de optie ‘+yaml’ toegevoegd voor uitvoer in YAML-formaat.
- In de tool dig is de optie ‘+[no]unexpected’ toegevoegd, die het ontvangen van antwoorden van hosts, die verschillen van de server aan wie de aanvraag is verzonden, toestaat.
- De dig-tool is nu voorzien van de optie «+[geen]expandaaaa», waarmee IPv6-adressen in AAAA-records nu in de volledige 128-bits weergave worden getoond, in plaats van in het RFC 5952-formaat.
- Er is nu een mogelijkheid om de groepen van statistiekkanalen te schakelen.
- DS- en CDS-records worden nu alleen gegenereerd op basis van SHA-256-hashes (de generatie op basis van SHA-1 is stopgezet).
- Voor DNS Cookie (RFC 7873) wordt standaard het algoritme SipHash 2-4 gebruikt, en de ondersteuning voor HMAC-SHA is stopgezet (AES blijft behouden).
- De uitvoer van de commando's dnssec-signzone en dnssec-verify wordt nu naar de standaard uitvoerstream (STDOUT) gestuurd, terwijl alleen fout- en waarschuwingsinformatie naar STDERR wordt gestuurd (bij gebruik van de optie «-f» wordt ook de ondertekende zone uitgegeven). Er is een nieuwe optie «-q» toegevoegd om de uitvoer te dempen.
- De DNSSEC-validatiecode is herzien om duplicatie met andere subsystemen te vermijden.
- Voor de uitvoer van statistieken in JSON-formaat kan nu alleen de JSON-C-bibliotheek worden gebruikt. De configure-optie «—with-libjson» is hernoemd naar «—with-json-c».
- In het configure-script wordt de parameter «—sysconfdir» niet langer standaard ingesteld op /etc en «—localstatedir» op /var, tenzij de parameter «—prefix» is opgegeven. Standaard worden nu de paden $prefix/etc en $prefix/var gebruikt, zoals toegepast in Autoconf.
- De code voor de DLV-service (Domain Look-aside Verification, dnssec-lookaside-optie) die als verouderd was verklaard in BIND 9.12, is verwijderd, en de bijbehorende handler dlv.isc.org is in 2017 uitgeschakeld. Het verwijderen van DLV heeft de BIND-code vereenvoudigd.
Bron: opennet.ru
