DNSSEC para ISPs

Devido à percepção cada vez maior das ameaças de DNS e à trajetória de outras iniciativas de segurança da Internet, como o Secure Sockets Layer, é provável que o DNSSEC se torne imperativo em ISPs, direcionado por requisitos internos, como gerenciamento de riscos e demanda do consumidor por uma Internet mais segura.

Ao agir agora, você pode proteger melhor seus clientes, reforçar a sua reputação de liderança na proteção ao cliente e segurança na Internet, e se diferenciar dos concorrentes. Como um dos pioneiros, você também pode ser capaz de influenciar o desenvolvimento de produtos e serviços, além de outras iniciativas do setor, que apoiem e beneficiem a sua empresa.

Benefícios para os ISPs proativos

Adicionando essa camada de forma proativa, é possível:

• Ajudar a diminuir o risco de que seus clientes se tornem vítimas de crimes cibernéticos
• Ajudar a proteger e construir sua marca e reputação
• Manter a confiança e a fidelidade dos seus clientes.
• Oferecer uma Internet mais segura como parte da sua proposta de valor para os clientes
• Atrair e reter clientes com foco em segurança.
• Proteger seu negócio principal melhorando a confiança na Internet.
• Exercer sua liderança e influência para moldar o futuro do DNSSEC.

Os ISPs desempenham um papel essencial no funcionamento da Internet e no sucesso do DNSSEC. Os servidores recursivos de nomes (resolvedores) gerenciados pelos ISPs ajudam os usuários da Internet a resolver rapidamente milhares de nomes de domínio por dia. Servidores recursivos de nomes também são o principal vetor para o envenenamento do cache.

Servidores recursivos de nomes que utilizam o DNSSEC podem ajudar a impedir o envenenamento do cache da seguinte forma: quando um servidor recursivo de nomes solicita informações de DNS de um servidor autorizado de uma zona e a zona é assinada, o servidor recursivo de nomes também solicita a chave DNSSEC da zona para que ele possa verificar se a informação recebida é idêntica à informação do servidor autorizado.

Para ajudar a propagar o DNSSEC por todo o ecossistema da Internet, você precisa permitir o uso do DNSSEC em seus servidores recursivos de nomes e assegurar a compatibilidade das suas infraestruturas de rede (por exemplo: firewalls, roteadores, switches e balanceadores de carga) com as respostas de DNS maiores, geradas pelo DNSSEC. Com o tempo, você pode incorporar o DNSSEC nos seus ciclos de desenvolvimento e testes. Os ISPs que fornecem serviços de hospedagem de DNS também precisarão ativar a funcionalidade DNSSEC para esses serviços.

A maioria dos servidores recursivos de nomes disponíveis comercialmente já suportam DNSSEC e exigem somente uma atualização ou alteração de parâmetros. No entanto, as empresas de registros podem ter que atualizar ou substituir servidores de nomes antigos e dispositivos de rede existentes.

A Verisign está comprometida em ajudá-lo a identificar a melhor estratégia de implementação do DNSSEC para o seu caso.

A tabela a seguir apresenta recomendações para abordar algumas questões importantes associadas à implementação do DNSSEC.

Você pode tomar providências cadenciadas para alcançar seu objetivo de um sistema com DNSSEC que ajude a manter a confiança dos usuários finais e forneça uma vantagem competitiva. Com base nas lições aprendidas através do trabalho com distribuidores autorizados de domínios e ISPs, bem como através do trabalho para implementar o DNSSEC nas zonas raízes .edu, .net e .com, sugerimos os seguintes passos para começar.

Explorar e educar

• Entenda como o DNSSEC se encaixa na sua estratégia de segurança cibernética.
• Conheça os benefícios e desafios da implementação do DNSSEC.
• Entenda a criptografia de chaves públicas, os padrões de criptografia e como as assinaturas digitais e as chaves públicas/privadas funcionam em conjunto.
• Garanta que sua equipe de TI e de suporte ao cliente receba treinamento para tratar de questões relacionadas ao DNSSEC.
• Aproveite os recursos da Verisign e planeje estratégias para informar clientes sobre o DNSSEC.

Planejamento

• Estabeleça um cronograma para a adoção do DNSSEC.
• Decida como você integrará o DNSSEC na sua arquitetura de DNS existente.
• Crie políticas e processos para sistematizar a integração de atualizações de chaves públicas de empresas de registro de domínios ou outras âncoras de confiança.

Avaliar e atualizar

• Faça um inventário e revise sua infraestrutura. Por exemplo: observe qual a versão do BIND ou Unbound está sendo executada e determine se os servidores de nomes suportam os protocolos NSEC3 e SHA-256.
• Determine qual será o impacto, caso existente, que o DNSSEC terá na largura de banda da rede (os pacotes maiores do DNSSEC aumentam o tráfego de rede).
• Considere como o DNSSEC afetará o gerenciamento dos servidores recursivos de nomes.
• Pergunte a seus fornecedores de hardware onde o DNSSEC se encaixa em seus planos e se há atualizações disponíveis para seus atuais dispositivos de rede.
• Avalie produtos e serviços que suportam sua implementação.
• Atualize o hardware de DNS e o software do servidor de nomes, conforme necessário, para que eles sejam compatíveis com DNSSEC.

Participe

• Trabalhe com consórcios do setor, entidades de padrões e fornecedores de software e hardware para ajudar a desenvolver soluções e abordagens que atendam às necessidades de sua organização.
• Colabore e crie estratégias voltadas para a experiência do usuário final quando o DNSSEC detecta dados “ruins”.