Durante el presente año, NIC Labs inició el estudio de la extensión de seguridad al DNS (DNSSEC) para su eventual implementación en NIC Chile.

En este estudio se pretende evaluar la viabilidad técnica de implantar dicha tecnología en el NIC, teniendo en cuenta el impacto de la extensión sobre la actual estructura de servicios del NIC, evaluando tanto los cambios en la plataforma técnica, como los cambios en los ciclos operativos que conllevan la adopción. Todo esto teniendo en cuenta que no se debe disminuir la actual calidad de servicio que entrega NIC Chile a sus clientes.

Dentro de los avances de la implantación experimental de DNSSEC efectuados por NIC Labs, se cuenta la instalación en nuestra plataforma de los siguientes servidores experimentales:

1. Servidor Autoritativo Bind DNSSEC de la zona firmada .cl, configurado para funcionar con NSEC
2. Servidor Autoritativo Bind DNSSEC de la zona firmada niclabs.cl, configurado para funcionar con NSEC
3. Servidor Autoritativo Unbound DNSSEC de zona niclabs.cl configurado para funcionar con NSEC3
4. Resolver Bind DNSSEC configurado para funcionar con NSEC
5. Root server configurado con .cl redireccionado al servidor con la zona .cl firmada (esto es para efectos del funcionamiento completo del Resolver)

Otro avance importante fue la confección de un conjunto de experimentos para pruebas de costo de la implantación. Los experimentos se realizaron sobre la infraestructura de servidores implementada y se usaron para evaluar distintos factores que afectan el proceso de firma de registros de una zona, en particular pensando en el sobre costo que genera el proceso de firma en los servidores. Para ello se evaluó las diferencias que se generan al firmar distintos archivos con un número incremental de registros (desde 10.000 a 2.000.000 de registros generados en base al software de NIC3). Además se verificó la diferencia de firmar dichos archivos con llaves de distinto tamaño (desde 512 bits a 4096 bits). En estos experimentos se midió el consumo de memoria del proceso de firma (máximos y promedios), el tiempo empleado en firmar la zona y el aumento de tamaño del archivo de zona con los nuevos registros de DNSSEC.

Con el análisis de los experimentos se revelaron las primeras cotas de los recursos necesarios para una implantación de DNSSEC sin perturbar la calidad de servicio actual. Dichas pruebas fueron realizadas utilizando las librerías Ldns, del NLnetLabs.

En el ámbito de estas reuniones, se presentaron el análisis de los experimentos realizados por NIC Labs y el caso de estudio de la implementación de DNSSEC en el TLD .NL

En las actividades futuras, se espera contribuir a la comunidad con un conjunto de herramientas que permitan instalar tanto un servidor autoritativo como un resolver usando DNSSEC. Además se mantiene la agenda de trabajo en conjunto entre el NIC Labs y el NIC, en el estudio de los procedimientos necesarios para implantar en el mediano plazo una solución de DNSSEC en el NIC Chile.

Más Información de los avances de DNSSEC en NIC Labs: http://dnssec.niclabs.cl