DNSSEC para formuladores de políticas
La adopción de las DNSSEC está tomando impulso a medida que los gobiernos, las instituciones financieras, los proveedores de servicios de internet (ISP), las empresas y otras organizaciones toman cada vez más conciencia de las amenazas relacionadas con el DNS.
Internet desempeña un papel cada vez más importante en el gobierno, el comercio, las comunicaciones y los programas de seguridad nacional de todo el mundo. Las extensiones de seguridad del sistema de nombres de dominio (DNSSEC) proporcionan una capa de seguridad adicional para ayudar a mantener la confianza en este recurso vital. Su efectividad será mayor cuando las adopte toda la comunidad de internet. Descubra lo que representan las DNSSEC para usted, los problemas que hay que tener en cuenta y cómo Verisign participa de forma activa en la incorporación de las DNSSEC en internet.
Las DNSSEC son más efectivas cuando se implementan de manera universal, comenzando por lo más alto de la jerarquía de internet (la zona de raíz y los dominios de primer nivel) y descendiendo hasta los nombres de dominio individuales.
El tamaño, la complejidad y el impacto de una iniciativa de DNSSEC global sugiere que los formuladores de políticas de los sectores privados y gubernamentales cumplen una función vital para el éxito de las DNSSEC. Los formuladores de políticas que trabajan a nivel nacional e internacional en telecomunicaciones, estándares técnicos, comercio, cumplimiento de la ley y seguridad y defensa nacionales cuentan con la visibilidad, la influencia y el alcance para generar un impacto positivo en el impulso y el desarrollo de las DNSSEC.
Beneficios para el nivel superior
Las DNSSEC presentan una oportunidad para todos los miembros del ecosistema de internet. El impacto más directo y general es sobre los usuarios finales y las organizaciones con las que ellos interactúan. Al agregar otra capa de seguridad a internet, las DNSSEC proporcionan los siguientes tipos de beneficios:
| MIEMBRO DEL ECOSISTEMA | BENEFICIO |
|---|---|
| Comunidad de internet (por ejemplo, los operadores de sitios web involucrados en el comercio electrónico, los gobiernos, los servicios financieros o las empresas) | Importante mejora de la infraestructura de seguridad que aumenta la confianza en internet |
| Usuarios finales | Reducción del riesgo de redireccionamientos no intencionales a sitios web fraudulentos (ocasionados por ataques de intermediarios o por envenenamiento de caché) que pueden derivar en robo de identidad y otros riesgos para la seguridad |
| Registradores | Ventaja competitiva para los primeros adoptantes, oportunidad de proporcionar ofertas de seguridad mejoradas y monetizables |
| Proveedores de servicios de internet (ISP) | Mayor seguridad de datos para los usuarios de internet que aprovechan el servicio de los servidores de nombres del ISP para la navegación por internet |
| Proveedores de software y hardware | Oportunidad de proporcionar soluciones y productos nuevos |
La implementación de las DNSSEC no es una tarea trivial. Exige una cantidad considerable de recursos, documentación, pruebas y coordinación por parte de la industria. También supone cambios complejos que afectan a algunos miembros de la comunidad de internet más que a otros. Deberá tener en cuenta estas complejidades a la hora de recomendar o implementar políticas, cronogramas y otras normas.
- Los registradores deben actualizar sus sistemas para interactuar con un registro con las DNSSEC habilitadas, proporcionar un mecanismo para que los usuarios envíen su material clave de las DNSSEC al registrador y, si el registrador proporciona servicios de alojamiento de DNS, agregar servicios de firma y administración de claves de DNSSEC complejos y exigentes.
- Los ISP deben habilitar las DNSSEC en sus servidores de nombres recursivos y garantizar la compatibilidad con dispositivos, además de tener en cuenta que los paquetes de respuesta de las DNSSEC son potencialmente más grandes que los paquetes de DNS tradicionales y por lo tanto pueden aumentar los requisitos de ancho de banda.
- Los proveedores de hardware y software deben actualizar los productos que poseen y desarrollar productos nuevos que sean compatibles con las DNSSEC y soporten los servicios de las DNSSEC.
Cada uno de estos procesos es muy complejo, afecta las operaciones de los sistemas, exige pruebas exhaustivas y puede llegar a insumir muchos meses.
Cualquier introducción de las DNSSEC debe realizarse en fases, sobre todo para garantizar el funcionamiento confiable de dominios de primer nivel (TLD) que son cruciales en todo el mundo, como .com y .net. La colaboración, la planificación y la creación de estrategias a largo plazo (no sólo dentro de las organizaciones e industrias y a través de ellas, sino también en forma internacional) establecen cimientos fuertes para lograr una implementación exitosa.
Verisign se compromete a ser el encargado de confianza de internet. Como registro de .com y .net y proveedor de servicios cruciales para la infraestructura de internet, nuestro objetivo es permitir que se desarrollen las próximas innovaciones de internet mientras protegemos a la comunidad de internet contra las nuevas amenazas informáticas. Nuestro trabajo con las DNSSEC es otro paso en nuestro camino hacia el fortalecimiento de la infraestructura crucial de internet mediante la inversión.
Verisign ha estado involucrado en el desarrollo de las DNSSEC desde el año 2000, y nuestros ingenieros desempeñaron una función crucial en el desarrollo del protocolo de negación de existencia autenticada con la función Hash (NSEC3) para las DNSSEC. A medida que avancen las pruebas, la implementación y la adopción de las DNSSEC, seguiremos colaborando con la comunidad técnica de internet y participando en organizaciones de la industria como la DNSSEC Coalition.
Para ayudar a la comunidad a entender lo que implica un entorno con las DNSSEC habilitadas, Verisign ha desarrollado un laboratorio de interoperabilidad para las DNSSEC. El laboratorio de interoperabilidad era un entorno independiente con un conjunto de más de 8.000 casos de prueba que permitía que los miembros de la comunidad de TI probaran la compatibilidad de los componentes de su infraestructura empresarial y de internet con las DNSSEC.
En julio de 2010 Verisign, junto con la Autoridad de Números Asignados a Internet (IANA) y el Ministerio de Comercio (DoC) de los Estados Unidos, completó la implementación de las DNSSEC en la zona de raíz (el punto inicial de la jerarquía de DNS). Verisign también habilitó las DNSSEC para los dominios .edu en julio de 2010 en colaboración con EDUCAUSE y el DoC, y en diciembre de 2010 y marzo de 2011 habilitó los dominios .net y .com respectivamente. Además, varios dominios de primer nivel (TLD) han sido firmados por otros registros, entre ellos .gov, .org y los nombres de TLD con códigos de país para Brasil, Bulgaria, la República Checa, Puerto Rico y Suecia.
Además, adoptaremos varias medidas para ayudar a que los miembros del ecosistema de internet aprovechen las DNSSEC. Estos pasos incluyen la publicación de recursos técnicos, la entrega de un entorno de pruebas operativas, la conducción de sesiones educativas, la participación en foros de la industria y el desarrollo de herramientas que simplifiquen la administración de las DNSSEC.