Grupa zadaniowa IETF (Internet Engineering Task Force), która opracowuje protokoły i architekturę internetową, sfinalizowała dokument RFC dla systemu nazw domen GNS (GNU Name System), opracowanego w ramach projektu GNUnet jako w pełni zdecentralizowany i odporny na cenzurę zamiennik DNS. Specyfikacja opublikowana jako RFC-9498 otrzymała status „proponowanego standardu”. W pełni opublikowana implementacja GNS zgodna z RFC jest zawarta w platformie GNUnet 0.20.0 i jest dodatkowo dostępna w bazie kodu projektu GNUnet-Go.
GNS może być używany równolegle z DNS oraz w tradycyjnych aplikacjach, takich jak przeglądarki internetowe. Integralność i niezmienność rekordów są gwarantowane dzięki zastosowaniu mechanizmów kryptograficznych. W przeciwieństwie do DNS, GNS wykorzystuje hierarchię opartą na drzewie zamiast tradycyjnej hierarchii opartej na drzewie. serwery Zastosowano graf skierowany. Rozpoznawanie nazw jest podobne do DNS, ale zapytania i odpowiedzi są obsługiwane poufnie – węzeł przetwarzający zapytanie nie wie, do kogo jest zwracana odpowiedź, a węzły tranzytowe i zewnętrzni obserwatorzy nie mogą odszyfrować zapytań i odpowiedzi.
Strefa DNS w GNS jest określana przy użyciu zestawu publicznych i prywatnych kluczy ECDSA w oparciu o krzywe eliptyczne Curve25519. Użycie Curve25519 jest przez niektórych postrzegane jako bardzo dziwny krok, ponieważ w ECDSA używane są inne typy krzywych eliptycznych, a w połączeniu z Curve25519 zwykle używają algorytmu podpisu cyfrowego Ed25519, który jest nowocześniejszy, bezpieczniejszy i szybszy niż ECDSA . Z punktu widzenia siły kryptograficznej wątpliwy jest także wybór rozmiaru klucza - 32 bajty zamiast 64 bajtów, stosowanych zwykle w Ed25519, a także zastosowanie kaskadowego szyfrowania symetrycznego z wykorzystaniem algorytmów AES i TwoFish w trybie CFB.
Podejście to tłumaczy się koniecznością implementacji kluczy hierarchicznych, umożliwiających użycie głównego klucza publicznego do wyodrębnienia podrzędnego klucza publicznego, wykorzystując właściwość liniowości Curve25519. Ta funkcja umożliwia uzyskanie podrzędnych kluczy publicznych bez znajomości prywatnych kluczy głównych. Technika ta jest również stosowana w Bitcoinie. Wybrano 32-bajtowy rozmiar klucza, aby umożliwić zmieszczenie klucza w jednym rekordzie DNS.
Źródło: opennet.ru
