Utgivelse av DNS-server BIND 9.16.0

Etter 11 måneder med utvikling har konsortiet ISC har presentert lansert den første stabile utgaven av den nye betydelige grenen av DNS-serveren BIND 9.16. Støtten for versjon 9.16 vil bli opprettholdt i tre år frem til 2. kvartal 2023 som del av et utvidet vedlikeholdssyklus. Oppdateringer for den tidligere LTS-versjonen 9.11 vil fortsette å bli utgitt til desember 2021. Støtten for versjon 9.14 vil opphøre om tre måneder.

Viktige nyheter:

• KASP (Key and Signing Policy) er lagt til, en forenklet måte å administrere nøkler og digitale signaturer for DNSSEC, basert på regler definert ved hjelp av direktivet «dnssec-policy». Dette direktivet gjør det mulig å konfigurere genereringen av nødvendige nye nøkler for DNS-soner og automatisk bruke nøklene ZSK og KSK.
• Nettverksunderdelen er betydelig omarbeidet og overført til en mekanisme for asynkron behandling av forespørslene, implementert basert på biblioteket libuv.
  Omarbeidingen har ennå ikke ført til synlige endringer, men i fremtidige utgivelser vil det gi mulighet til å implementere betydelige ytelsesforbedringer og legge til støtte for nye protokoller som DNS over TLS.
• Prosessen for å administrere DNSSEC tillitsanker (Trust anchor, knyttet til sonens offentlige nøkkel for å verifisere autentisiteten til denne sonen) er forbedret. I stedet for de nå utdaterte innstillingene trusted-keys og managed-keys, er det introdusert et nytt direktiv trust-anchors, som lar deg administrere begge nøkkeltypene.

  Når du bruker trust-anchors med nøkkelordet initial-key, er oppførselen til dette direktivet identisk med managed-keys, dvs. det definerer innstillingen for tillitsankeret i henhold til RFC 5011. Når du bruker trust-anchors med nøkkelordet static-key, tilsvarer oppførselen direktivet trusted-keys, dvs. det angir en permanent nøkkel som ikke oppdateres automatisk. I trust-anchors er det også introdusert to nøkkelord initial-ds og static-ds, som lar deg bruke tillitsanker i format DS (Delegation Signer) i stedet for DNSKEY, noe som gir mulighet for å konfigurere anker for ennå ikke publiserte nøkler (i fremtiden har IANA planer om å bruke DS-formatet til de primære sonenes nøkler).

• Verktøyene dig, mdig og delv har fått alternativet «+yaml» for utdata i YAML-format.
• I verktøyet dig er alternativet «+[no]unexpected» lagt til, som tillater mottak av svar fra verter som er forskjellige fra serveren som forespørselen ble sendt til.
• I verktøyet dig har det blitt lagt til et alternativ «+[no]expandaaaa», der IPv6-adresser i AAAA-postene vises i full 128-bits representasjon, i stedet for RFC 5952-format.
• Muligheten for å bytte mellom statistikkkanaler er lagt til.
• DS- og CDS-poster genereres nå kun basert på SHA-256-hashverdi (generering basert på SHA-1 er stoppet).
• For DNS Cookie (RFC 7873) er algoritmen SipHash 2-4 som standard aktivert, mens HMAC-SHA-støtten er avsluttet (AES er fortsatt tilgjengelig).
• Utdata fra kommandoene dnssec-signzone og dnssec-verify går nå til standard utdata (STDOUT), mens informasjon om feil og advarsler kun vises i STDERR (ved å spesifisere alternativet «-f» vises også den signerte sonen). For å dempe utdataene er alternativet «-q» lagt til.
• Koden for DNSSEC-validering er omarbeidet, og unngår nå duplisering av kode med andre undertjenester.
• For å vise statistikk i JSON-format kan nå kun JSON-C-biblioteket brukes. Konfigurasjonsalternativet «—with-libjson» er omdøpt til «—with-json-c».
• I konfigurasjonsskriptet settes ikke alternativet «—sysconfdir» lenger til /etc som standard, og «—localstatedir» til /var, med mindre «—prefix» er spesifisert. Som standard brukes nå stiene $prefix/etc og $prefix/var som brukes i Autoconf.
• Koden som implementerte DLV-tjenesten (Domain Look-aside Verification, alternativ dnssec-lookaside) har blitt fjernet, ettersom den ble erklært utdatert i BIND 9.12, og den tilknyttede behandleren dlv.isc.org ble stengt i 2017. Fjerning av DLV har gjort BIND-koden mindre komplisert.

Kilde: opennet.ru