Preguntas frecuentes sobre las DNSSEC
Sistema de nombres de dominio (DNS)
¿Qué es el DNS?¿Cómo funciona el DNS?
¿Por qué es vulnerable el DNS?
¿Qué es el envenenamiento de caché?
¿Qué son los ataques de intermediarios (MITM, del inglés Man In The Middle)?
DNSSEC
¿Qué hacen las DNSSEC?¿Quién se beneficia con las DNSSEC?
¿Cómo funcionan las DNSSEC?
¿En qué medida resuelven las DNSSEC el problema general de la seguridad en internet?
¿Cómo se le notifica a un usuario sobre un ataque?
¿Qué está haciendo Verisign para implementar las DNSSEC?
¿Cuál es la estrategia de Verisign para implementar las DNSSEC?
¿Qué se necesita para que las DNSSEC tengan éxito?
¿Quién ha adoptado o implementado las DNSSEC?
Una vez implementadas las DNSSEC, ¿aún necesito la capa de sockets seguros (SSL)?
¿Los estándares o las leyes de la industria exigen las DNSSEC?
¿Cuál es la historia de las DNSSEC?
Registradores
¿Cómo afectará la implementación de las DNSSEC a los registradores?¿Qué está haciendo Verisign para ayudar a los registradores de .com y .net?
¿Los consumidores pueden comprar directamente las DNSSEC? ¿Cómo funciona esto?
ISP, proveedores y operadores de sitios web (registrantes)
¿Qué deben hacer los proveedores de servicios de internet (ISP)?¿Qué función cumplen los proveedores de hardware en las DNSSEC?
¿Cómo pueden apoyar a las DNSSEC los desarrolladores de software?
¿Qué es el Verisign DNSSEC Interoperability Lab?
¿Cómo pueden habilitar las DNSSEC los operadores de sitios web?
¿Qué función cumplen los formuladores de políticas en el éxito de las DNSSEC?
Respuestas sobre el sistema de nombres de dominio (DNS)
¿Qué es el DNS?
El DNS es el sistema de direcciones de internet. Casi todo lo que interactúa con internet (por ejemplo computadoras, dispositivos móviles, computadoras portátiles, cajeros automáticos y terminales de puntos de venta) usa servicios de DNS para intercambiar información. El DNS usa servidores especializados para traducir (o resolver) nombres como www.verisigninc.com a direcciones numéricas que permiten que los datos y la información lleguen a destino. Todas las aplicaciones de internet, desde los sitios web, el correo electrónico, las redes sociales y la banca en línea hasta las comunicaciones de voz sobre IP (VoIP), el intercambio de archivos y el video a demanda, dependen de la precisión e integridad de esta traducción. Sin el DNS, internet no puede funcionar. El DNS es fundamental para la infraestructura crucial de una nación, las transacciones financieras y las operaciones comerciales en línea, así como para todas las comunicaciones por internet. Regresar al principio
¿Cómo funciona el DNS?
El espacio de nombres de dominio está compuesto por un árbol de nombres de dominios, subdividido en zonas. El primer nivel, o la zona de raíz, es administrado por el Ministerio de Comercio de los Estados Unidos (DoC) y gestionado en conjunto por Verisign y el operador de funciones de la Agencia de Asignación de Números de Internet (IANA), la cual mantiene los datos en los servidores raíz. Más información sobre el DNS.
Una zona de DNS está compuesta por una colección de nodos conectados atendidos por un servidor de nombres autoritativo. Los servidores de nombres para las distintas zonas son los encargados de publicar las asignaciones de los nombres de dominios a direcciones IP. Cada nodo u hoja del árbol tiene cero o más registros de recursos que contienen información asociada con el nombre de dominio. Cada nombre de dominio termina con un dominio de primer nivel (TLD) como .com o .tv.
Para que internet funcione y para evitar la duplicación de nombres de dominio, debe existir un lugar autoritativo donde se registran los nombres de dominio. Cada TLD tiene un registro autorizado que administra una base de datos centralizada. El registro propaga la información acerca de los nombres de dominio y las direcciones IP en archivos de la zona del TLD. Los archivos de zona del TLD asignan nombres de dominio activos de segundo nivel (la porción del nombre de dominio que aparece inmediatamente a la izquierda de “.”) a las direcciones IP únicas de los servidores de nombres. Más información sobre los nombres de dominios y el registro. Regresar al principio
¿Por qué es vulnerable el DNS? 
El proceso de traducción de un nombre de dominio a una dirección IP se denomina resolución DNS. Cuando alguien ingresa un nombre de dominio, como www.verisign.com, en un navegador de internet, el navegador se comunica con un servidor de nombres para obtener la dirección IP correspondiente. Existen dos tipos de servidores de nombres: los servidores de nombres autorizados, que almacenan información completa acerca de una zona, y los servidores de nombres recursivos, que responden consultas de DNS para usuarios de internet y almacenan los resultados de las respuestas de DNS durante un período de tiempo determinado. Cuando un servidor de nombres recursivo recibe una respuesta, la copia al caché (la almacena) para acelerar las consultas subsiguientes. Al copiar al caché, reduce el número necesario de solicitudes de información, pero es susceptible a ataques de intermediarios.
Como consecuencia de estos ataques, los delincuentes informáticos pueden:
- Apropiarse de correos electrónicos.
- Intervenir comunicaciones de voz sobre IP (VoIP).
- Suplantar sitios web.
- Robar contraseñas e información de inicio de sesión.
- Extraer datos de tarjetas de crédito y otra información confidencial.
Más información sobre las amenazas al sistema DNS. Regresar al principio
¿Qué es el envenenamiento de caché?
El envenenamiento de caché ocurre cuando se introducen datos de DNS fraudulentos en el caché de un servidor de nombres recursivo. Los servidores de nombres recursivos almacenan en forma temporal, o guardan en caché, información obtenida durante el proceso de resolución de nombres, pero sin las DNSSEC no tienen forma de verificar la validez y precisión de esta información. Cuando se guarda información maliciosa en el caché del servidor de nombres, se considera que el servidor está “envenenado”. El envenenamiento de caché permite que un atacante redirija el tráfico a sitios fraudulentos. Regresar al principio
¿Qué son los ataques de intermediarios (MITM, del inglés Man In The Middle)?
Un ataque de intermediario intercepta y modifica las comunicaciones entre dos sistemas en forma clandestina. El atacante puede modificar potencialmente la comunicación para redirigir el tráfico a una dirección o un sitio web ilegítimos. Los usuarios finales no detectan al “intermediario” y asumen que se están comunicando directamente con el destino deseado. Regresar al principio
Respuestas sobre las DNSSEC
¿Qué hacen las DNSSEC?
Las DNSSEC protegen a la comunidad de internet de los datos de DNS falsificados mediante el uso de criptografía de clave pública para firmar digitalmente los datos de zonas autoritativas. La validación de las DNSSEC asegura a los usuarios que los datos se originaron en la fuente especificada y que no fueron modificados durante el tránsito. Las DNSSEC también pueden demostrar que un nombre de dominio no existe.
Aunque las DNSSEC mejoran la seguridad del DNS, no son una solución integral. No protegen contra ataques distribuidos de negación de servicio (DDoS), no aseguran la confidencialidad de los intercambios de datos, no cifran los datos de sitios web ni impiden la falsificación y suplantación de direcciones IP. Otras capas de protección, como la mitigación de DDoS, la inteligencia de seguridad, el cifrado y validación de sitios de la capa de sockets seguros (SSL) y la autenticación de dos factores también son cruciales para que internet sea más segura. Estos mecanismos se deben utilizar junto con las DNSSEC. Regresar al principio
¿Quién se beneficia con las DNSSEC?
Las DNSSEC afectan a todos los componentes del ecosistema de la infraestructura de internet. Su implementación efectiva exige la participación de muchas partes interesadas de la comunidad de internet. Los registros, los registradores, los registrantes de nombres de dominio, los proveedores de software y hardware, los ISP, las entidades gubernamentales y los usuarios comunes de internet tendrán que cumplir distintas funciones para garantizar el éxito y traer mejoras vitales a la seguridad en internet.
Las DNSSEC benefician a:
- La comunidad de internet, porque mejoran la seguridad de las zonas que están firmadas.
- Los registradores, porque les permiten ofrecer servicios de firma a sus clientes.
- Los ISP, porque aumentan la seguridad de los datos que son devueltos a sus clientes.
- Los usuarios, porque los protegen de las vulnerabilidades de DNS como el envenenamiento de caché y los ataques de intermediarios.
¿Cómo funcionan las DNSSEC?
En las DNSSEC, cada zona tiene un par de claves, pública y privada. La clave pública de la zona se publica mediante DNS, mientras que la clave privada de la zona se mantiene a salvo e idealmente almacenada sin conexión. La clave privada de una zona firma los datos de DNS individuales de esa zona y crea firmas digitales que también se publican con el DNS.
Las DNSSEC usan un modelo de confianza estricto y esta cadena de confianza se transmite de la zona primaria a la secundaria. Las zonas de niveles superiores (primarias) firman, o avalan, las claves públicas de las zonas de niveles inferiores (secundarias). Los servidores de nombres autoritativos pueden ser administrados por registradores, proveedores de servicios de internet, compañías de alojamiento o por los mismos operadores de sitios web (registrantes).
Cuando un usuario final desea acceder a un sitio web, un resolvedor stub del sistema operativo del usuario solicita el registro del nombre de dominio de un servidor de nombres recursivo, ubicado en un ISP. Después de que el servidor solicita este registro, también solicita la clave de DNSSEC asociada a la zona. Esta clave permite que el servidor verifique que la información recibida es idéntica al registro del servidor de nombres autoritativo.
Si el servidor de nombres recursivo determina que el servidor de nombres autoritativo ha enviado el registro de direcciones y éste no se ha alterado durante el tránsito, resuelve el nombre del dominio y el usuario puede acceder al sitio. Este proceso se llama validación. Si el registro de direcciones se ha modificado o no proviene de la fuente especificada, el servidor de nombres recursivo no permite que el usuario llegue a la dirección fraudulenta. Las DNSSEC también pueden demostrar que un nombre de dominio no existe. Regresar al principio
¿En qué medida resuelven las DNSSEC el problema general de la seguridad en internet?
Existen muchos factores en la seguridad general de internet. Las DNSSEC tienen el potencial de reducir los problemas de seguridad generados por ataques de intermediarios y envenenamiento de caché, pero no representan una solución de seguridad integral. Las DNSSEC no resuelven muchas de las amenazas de seguridad más comunes de internet, como el spoofing o el phishing. Por este motivo, otras capas de protección, como los certificados de SSL y la autenticación de dos factores, son fundamentales para hacer que internet sea segura para todos. Regresar al principio
¿Cómo se le notifica a un usuario sobre un ataque?
La comunidad de internet todavía no ha creado un sistema estandarizado para informar a los usuarios sobre un ataque. Una posible solución es el desarrollo de navegadores “preparados para las DNSSEC” que notifiquen a los usuarios que han sido dirigidos a un destino autenticado. Regresar al principio
¿Qué está haciendo Verisign para implementar las DNSSEC?
En julio de 2010 Verisign, junto con la Autoridad de Números Asignados a Internet (IANA) y el Ministerio de Comercio de los Estados Unidos (DoC), completó la implementación de las DNSSEC en la zona de raíz (el punto inicial de la jerarquía de DNS). Verisign también habilitó las DNSSEC para los dominios .edu en julio de 2010 en colaboración con EDUCAUSE y el DoC, y en diciembre de 2010 y marzo de 2011 habilitó los dominios .net y .com respectivamente. Regresar al principio
¿Cuál es la estrategia de Verisign para implementar las DNSSEC?
Nuestra estrategia de implementación de las DNSSEC consiste en comenzar por las zonas más pequeñas y evaluar las lecciones aprendidas de cada implementación antes de pasar a la zona siguiente. La zona .com fue la última que firmamos debido a que era la más grande. Queríamos adquirir toda la experiencia que fuera posible antes de dedicarnos al dominio que controla gran parte del comercio y las comunicaciones por internet de todo el mundo. Regresar al principio
¿Qué se necesita para que las DNSSEC tengan éxito?
El éxito de la implementación de las DNSSEC tiene beneficios de gran repercusión para la comunidad global de internet, ya que aumenta la confianza para muchas actividades en línea, entre ellas, el comercio electrónico, la banca en línea, el correo electrónico, las comunicaciones mediante VoIP y la distribución de software en línea. Sin embargo, toda la comunidad de internet comparte la responsabilidad de hacer que las DNSSEC tengan éxito. El éxito depende de la participación activa y coordinada de los registros, los registradores, los registrantes, las compañías de alojamiento, los desarrolladores de software, los proveedores de hardware, los gobiernos y las coaliciones y los tecnólogos de internet. Regresar al principio
¿Quién ha adoptado o implementado las DNSSEC?
La zona de raíz de internet, los dominios de primer nivel (TLD), como .gov, .org, .museum y un número de TLD con códigos de país (ccTLD) ya han firmado las zonas que administran. Otros TLD, como.edu, .net y .com, implementaron las DNSSEC en el 2010 y 2011. Estos TLD han comenzado a aceptar nombres de dominio de segundo nivel firmados por las DNSSEC. Los grandes ISP como Comcast activaron la validación en los servidores de nombres recursivos que responden a consultas de los usuarios, y algunos registradores han incluido la implementación de las DNSSEC en sus estrategias. Además, la Corporación para Asignación de Nombres y Números de Internet (ICANN) ya abrió las solicitudes para TLD nuevos, y es probable que se exija un plan de implementación de las DNSSEC para aceptar una solicitud de un TLD nuevo. Regresar al principio
Una vez implementadas las DNSSEC, ¿aún necesito la capa de sockets seguros (SSL)?
Aunque tanto las DNSSEC como la SSL se basan en la criptografía de clave pública, cada una lleva a cabo funciones muy diferentes que se complementan en lugar de reemplazarse.
En un modelo muy simplista, las DNSSEC se encargan del “dónde” y la SSL se encarga del “quién” y el “cómo”.
- Dónde: Las DNSSEC usan firmas digitales para verificar la integridad de los datos de DNS, por lo que garantizan que los usuarios lleguen a la dirección IP deseada. Su trabajo termina cuando el usuario llega a la dirección. Las DNSSEC no garantizan la identidad de la entidad de la dirección y no encriptan las interacciones entre el usuario y el sitio.
- Quién: La SSL usa certificados digitales para validar la identidad de un sitio. Cuando estos certificados son emitidos por autoridades de certificados (CA) de terceros con buena reputación, la SSL le da garantías al usuario sobre la identidad del dueño del sitio web. Sin embargo, la SSL no garantiza que un usuario llegue al sitio correcto, por lo que no se puede utilizar contra ataques que redirigen a los usuarios. En otras palabras, la validación de sitio de la SSL es efectiva, pero sólo si en primer lugar el usuario llega al destino correcto.
- Cómo: La SSL también usa certificados digitales para encriptar los intercambios de datos entre un usuario y un sitio, por lo que protege la confidencialidad de las transacciones financieras, las comunicaciones, el comercio electrónico y otras interacciones delicadas.
Cuando se las une, las DNSSEC y la SSL aumentan el nivel de seguridad y confianza en internet: los usuarios pueden determinar con certidumbre adónde van, con quién interactúan y qué tan confidenciales son sus interacciones. Regresar al principio
¿Los estándares o las leyes de la industria exigen las DNSSEC?
El memorándum 08-23 de la Oficina de Administración y Presupuesto de los Estados Unidos (OMB) exigió la implementación de las DNSSEC en el dominio de primer nivel .gov para enero de 2009 y que las agencias federales de los EE.UU. implementaran las DNSSEC en los sitios externos para diciembre de 2009. El registro .gov se firmó a comienzos de 2009. Asimismo, la Agencia de Sistemas de Información de Defensa de EE.UU. (Defense Information Systems Agency) planea cumplir con los requisitos para las DNSSEC de la OMB para el dominio .mil. Las nuevas regulaciones de la ley federal estadounidense de protección de la información (FISMA) exigieron que las agencias firmaran sus zonas de intranet con las DNSSEC a mediados de 2010. Actualmente no se exige a los operadores de sitios web públicos que aseguren sus dominios con las DNSSEC. Regresar al principio
¿Cuál es la historia de las DNSSEC?
1993: Comienza la discusión sobre un DNS seguro.
1994: Se publica el primer anteproyecto de una posible norma.
1997: Se publica RFC 2065 (las DNSSEC son una norma de IETF).
1999: Se publica RFC 2535 (se modifica la norma de las DNSSEC).
2005: Se reescriben por completo las normas publicadas.
RFC 4033 (introducción y requisitos).
RFC 4034 (nuevos registros de recursos).
RFC 4035 (cambios en el protocolo).
Julio de 2010: Se firma la zona de raíz.
Julio de 2010: Se firma .edu.
Diciembre de 2010: Se firma .net.
Febrero de 2011: El registro .gov con las DNSSEC habilitadas es transferido a Verisign.
Marzo de 2011: Se firma .com.
Marzo de 2011: El servicio de gerencia de DNS de Verisign se mejora para cumplir por completo con las DNSSEC.
Enero de 2012: Comcast anuncia que sus clientes están usando sistemas de resolución con validación de las DNSSEC.
Marzo de 2012: El número de TLD firmados alcanza los 90.
Respuestas para los registradores
¿Cómo afecta la implementación de las DNSSEC a los registradores?
Los registradores deben firmar los nombres de dominio de sus clientes (registrantes). La habilitación de las DNSSEC para un registrante implica la creación de pares de claves públicas y privadas para el nombre del dominio, la creación y firma de la zona y la administración de los pares de claves. Estos procesos garantizan que los sistemas de resolución que cuentan con las DNSSEC dentro del ecosistema de internet puedan verificar la autenticidad de las respuestas que otorga la zona. Además, los registradores deben modificar la interfaz para que sus clientes acepten los datos de clave de las DNSSEC. También deben modificar la interfaz de su protocolo de aprovisionamiento extensible (EPP) para pasar los datos de las claves de las DNSSEC a los registros con los que interactúan. Regresar al principio
¿Qué está haciendo Verisign para ayudar a los registradores de .com y .net?
Verisign se compromete a rebajar los costos de implementación de las DNSSEC para los registradores y a ayudar a nuestros afiliados registradores a determinar las estrategias para la implementación de las DNSSEC. Verisign proporciona variadas herramientas, capacitaciones, servicios y soporte para ayudar a los registradores con sus procesos de administración de claves y con la implementación de las DNSSEC en sus servidores de DNS.
Este soporte incluye:
- Un entorno de pruebas operativas para los dominios .net y .com que permite a los registradores verificar que su implementación de las DNSSEC funciona correctamente.
- Tutoriales sobre las DNSSEC proporcionados por el Campamento técnico.
- Un kit de desarrollo de software (SDK) y una herramienta de EPP. Acceda al SDK de EPP.
- El foro técnico de las DNSSEC.
- Un manual de herramientas de las DNSSEC, que proporciona una descripción general de los conjuntos de automatización y las herramientas de código abierto relacionados con las DNSSEC.
- Una herramienta de línea de comandos descargable que permite a los registradores obtener algunas herramientas comunes de código abierto que simplifican la administración de las zonas de DNS y DNSSEC.
- White papers sobre cómo se desarrollarán las transferencias de registradores en un entorno con las DNSSEC habilitadas (mediante el foro técnico de las DNSSEC).
¿Los consumidores pueden comprar directamente las DNSSEC? ¿Cómo funciona esto?
Verisign invirtió en las DNSSEC para fortalecer la infraestructura de internet. Los registradores y/o los proveedores de servicios pueden tomar la decisión de desarrollar servicios para habilitar las DNSSEC para sus clientes. El mercado determinará el modelo. Regresar al principio
Respuestas para ISP, proveedores y operadores de sitios web (registrantes)
¿Qué deben hacer los proveedores de servicios de Internet (ISP)?
Para ayudar a propagar las DNSSEC por todo el ecosistema de internet, los ISP deben habilitar las DNSSEC en sus servidores de nombres recursivos y garantizar la compatibilidad de su infraestructura de red (por ejemplo firewalls, enrutadores, conmutadores y distribuidores de carga) con las respuestas de DNS más grandes que generan las DNSSEC.
La mayoría de los servidores de nombres recursivos comercialmente disponibles ya son compatibles con las DNSSEC y sólo requieren una actualización o un cambio de parámetros. Sin embargo, es posible que los registradores deban mejorar o reemplazar los servidores de nombres antiguos y los dispositivos de red que poseen. Regresar al principio
¿Qué función cumplen los proveedores de hardware en las DNSSEC?
Las DNSSEC introducen cambios complejos en todo el ecosistema de internet. Para garantizar que los usuarios de internet se beneficien de esta capa agregada de seguridad de internet, los fabricantes de productos de infraestructura para internet como firewalls, enrutadores y otros dispositivos, deben garantizar que sus equipos sean compatibles con las DNSSEC. El funcionamiento correcto de estos productos afecta prácticamente a cualquiera que se conecte a internet, lo que incluye empresas, proveedores de servicios de internet, usuarios particulares y otros clientes. Regresar al principio
¿Cómo pueden apoyar a las DNSSEC los desarrolladores de software?
Tanto los productos de software que ejecutan el DNS como las aplicaciones para usuarios finales, como los navegadores y los clientes de correo electrónico, son fundamentales para el uso innovador y efectivo de internet. Los registradores, los proveedores de servicios de internet y los usuarios finales necesitan soluciones que incorporen las capacidades de las DNSSEC a este software. Los desarrolladores de software ayudarán a llevar adelante la adopción global de las DNSSEC mediante la creación de productos preparados para las DNSSEC y el desarrollo de herramientas que simplifiquen la administración de las DNSSEC.
Existen oportunidades de crear valor agregado para el cliente en los niveles del sistema operativo del servidor de DNS, el sistema operativo del cliente y las aplicaciones para el usuario final. Por ejemplo, los registradores, los proveedores de servicios de internet y los servicios de alojamiento Web necesitan soluciones que simplifiquen la firma de zonas y la administración de claves de las DNSSEC. También necesitan una manera de indicar la validación de las DNSSEC a los usuarios finales, quizás con una señal visual en los navegadores. Regresar al principio
¿Qué es el Verisign DNSSEC Interoperability Lab?
El Verisign DNSSEC Interoperability Lab permite que los miembros de la comunidad de TI prueben la compatibilidad de los componentes de su infraestructura empresarial y de internet con las DNSSEC.
Gracias al centro de pruebas, los proveedores de hardware y los desarrolladores de software pueden determinar el impacto, si lo hubiere, de las DNSSEC sobre las soluciones y los servicios que ofrecen. Regresar al principio
¿Cómo pueden activar las DNSSEC los operadores de sitios web (registrantes)?
Las DNSSEC se basan en una jerarquía de confianza. Las entidades de los niveles superiores de la jerarquía avalan a las que están debajo de ellas. Esto significa que la entidad que le proporcionó el nombre de dominio (por lo general un registrador, un ISP o un servicio de alojamiento de DNS) al operador del sitio web debe implementar las DNSSEC antes de que el operador del sitio web pueda habilitarlas.
Para habilitar las DNSSEC en los sitios web, los operadores deben firmar digitalmente la información de su nombre de dominio. En la mayoría de los casos, sólo deberían acceder a participar en este proceso cuando registran su nombre de dominio. Si ya han registrado el nombre de dominio y deciden implementar las DNSSEC para su zona, el registrador con las DNSSEC habilitadas probablemente contará con un proceso para modificar los registros de las zonas después del registro del dominio.
Es posible que algunas organizaciones necesiten administrar partes del proceso de las DNSSEC en forma interna por motivos de conformidad o seguridad. En este caso, la habilitación de las DNSSEC es más compleja. Regresar al principio
¿Qué función cumplen los formuladores de políticas en el éxito de las DNSSEC?
Las DNSSEC son más efectivas cuando se implementan de manera universal, comenzando por lo más alto de la jerarquía de internet (la zona de raíz y los dominios de primer nivel) y descendiendo hasta los nombres de dominio individuales. Al igual que otras campañas internacionales, las DNSSEC requieren la participación activa y coordinada de muchos países y organizaciones.
El tamaño, la complejidad y el impacto de una iniciativa de DNSSEC global sugiere que los formuladores de políticas de los sectores privados y gubernamentales cumplen una función vital para el éxito de las DNSSEC. Los formuladores de políticas que trabajan a nivel nacional e internacional en telecomunicaciones, estándares técnicos, comercio, cumplimiento de la ley y seguridad y defensa nacionales cuentan con la visibilidad, la influencia y el alcance para generar un impacto positivo en el impulso y el desarrollo de las DNSSEC. Regresar al principio