Utgåvan av DNS-server BIND 9.16.0

Efter 11 månaders utveckling har konsortiet ISC år släppt den första stabila versionen av den nya betydande grenen av DNS-servern BIND 9.16. Stödet för version 9.16 kommer att pågå i tre år fram till det andra kvartalet 2023 inom ramen för den utökade supportcykeln. Uppdateringar för den tidigare LTS-versionen 9.11 kommer att fortsätta att släppas fram till december 2021. Stödet för version 9.14 upphör om tre månader.

Huvud nyheter:

• KASP (Key and Signing Policy) har lagts till, en förenklad metod för att hantera nycklar och digitala signaturer i DNSSEC, baserat på regler som definieras med direktivet "dnssec-policy". Detta direktiv möjliggör konfigurationen av generationen av nya nycklar för DNS-zoner och automatisk tillämpning av nycklarna ZSK och KSK.
• Nätverksunderrättelsen har genomgått en betydande omstrukturering, som har övergått till en mekanism för asynkron begäranshantering, implementerad med hjälp av biblioteket libuv.
  Omstruktureringen har ännu inte lett till synliga förändringar, men i framtida versioner kommer det att möjliggöra vissa betydande prestandaoptimeringar och lägga till stöd för nya protokoll som DNS over TLS.
• Processen för hantering av DNSSEC:s förtroendebindningar (Trust anchor, en bunden öppen nyckel för att verifiera äktheten av denna zon) har förbättrats. Istället för inställningarna trusted-keys och managed-keys, som nu är föråldrade, har en ny direktiv trust-anchors föreslagits, som möjliggör hantering av båda typerna av nycklar.

  När trust-anchors används med nyckelordet initial-key, är beteendet hos detta direktiv identiskt med managed-keys, dvs. det definierar inställningen för förtroendebindning enligt RFC 5011. När trust-anchors används med nyckelordet static-key, motsvarar beteendet det hos direktivet trusted-keys, dvs. det definierar en permanent nyckel som inte uppdateras automatiskt. I trust-anchors föreslås även två andra nyckelord initial-ds och static-ds, som möjliggör användning av förtroendebindningar i formatet DS (Delegation Signer) istället för DNSKEY, vilket möjliggör konfiguration av bindningar för ännu icke publicerade nycklar (i framtiden planerar IANA att använda DS-formatet för nycklar i rotzoner).

• I verktygen dig, mdig och delv har alternativet "+yaml" lagts till för utdata i YAML-format.
• I verktyget dig har alternativet "+[no]unexpected" lagts till, vilket tillåter mottagning av svar från värdar som skiljer sig från den server som begäran skickades till.
• I verktyget dig har alternativet „+[no]expandaaaa” lagts till, vilket gör att IPv6-adresser i AAAA-poster visas i fullständig 128-bitars representation, snarare än i RFC 5952-format.
• Möjligheten att byta grupper av statistikkanaler har lagts till.
• DS- och CDS-poster genereras nu endast baserat på SHA-256-hashar (generering baserad på SHA-1 har upphört).
• För DNS Cookie (RFC 7873) används som standard algoritmen SipHash 2-4, och stöd för HMAC-SHA har upphört (AES har kvarlämnats).
• Utdata från kommandona dnssec-signzone och dnssec-verify dirigeras nu till standardutdataflödet (STDOUT), medan information om fel och varningar endast skrivs ut till STDERR (vid användning av alternativet „-f” skrivs även den signerade zonen ut). En ny möjlighet „-q” har lagts till för att dämpa utdata.
• DNSSEC-valideringskoden har omarbetats för att eliminera duplicering av kod med andra delsystem.
• För att skriva ut statistik i JSON-format kan nu endast biblioteket JSON-C användas. Konfigurationsalternativet „—with-libjson” har döpts om till „—with-json-c”.
• I konfigurationsskriptet sätts inte längre som standard parametern „—sysconfdir” till /etc och „—localstatedir” till /var, om parametern „—prefix” inte anges. Som standard används nu sökvägarna $prefix/etc och $prefix/var, som används i Autoconf.
• Koden för implementeringen av DLV-tjänsten (Domain Look-aside Verification, alternativet dnssec-lookaside), som har förklarats som föråldrad i BIND 9.12, har tagits bort, och den relaterade hanteraren dlv.isc.org stängdes av 2017. Borttagningen av DLV har gjort det möjligt att förenkla koden för BIND.

Källa: opennet.ru