Conforme a adoção da DNSSEC ganha impulso, a DNSSEC provavelmente se tornará uma imperativa dos negócios das registradoress, orientada pelas necessidades internas como gerenciamento de riscos e demanda dos clientes para uma experiência de Internet mais segura.

As registradoress têm um papal muito importante para os sucesso da DNSSEC. Alguns provedores de serviços de Internet (ISPs) registradoress .net/.com já estão trabalhando para implantar a DNSSEC. Como a implementação da DNSSEC é um processo complexo, a Verisign recomenda uma abordagem cuidadosa e metódica. Os fornecedores de hardware precisam começar logo a fim de ter tempo para planejar, desenvolver, testar e aperfeiçoar seus produtos.

Agindo agora, as registradoress podem se estabelecer como líderes e modelos, se diferenciar da concorrência e obter uma vantagem inicial com relação às novas oportunidades de lucros. Como pioneiras, elas também podem influenciar o desenvolvimento de produtos e serviços, bem como outras iniciativas do setor, que suportam e beneficiam seus negócios.

Benefícios das DNSSEC para provedores proativos
A DNSSEC é um ingrediente essencial na abordagem em camadas da segurança na Internet. Adicionando essa camada de forma proativa, é possível:

• Ajudar a proteger os clientes e a marca das registradoress.
• Manter a confiança e lealdade dos clientes.
• Atrair e reter clientes com foco em segurança e reputação.
• Criar novas ofertas de serviços, tais como zonas de assinatura para os clientes.
• Abrir as portas para usar o DNS para novos tipos de transações de dados seguras (por exemplo: publicação de outros tipos de chaves públicas e autenticação da origem de e-mails).
• Proteger seu negócio principal melhorando a confiança na Internet.
• Exercer liderança e influência para moldar o futuro da DNSSEC.

A DNSSEC introduz mudanças complexas, que afetam todas as partes envolvidas na cadeia de resolução e consulta do DNS, especialmente as registradoress e outras entidades de hospedagem que administram servidores autoritativos de nomes e prestam serviços de gerenciamento essenciais para os clientes. Nós fornecemos ferramentas e trabalharemos com você para garantir que a sua implementação da DNSSEC seja bem-sucedida.

Para desenvolver os novos serviços que os clientes provavelmente exigirão uma vez que a DNSSEC for implantado, você terá que assinar os nomes de domínio do cliente. Ativar a DNSSEC para um cliente envolve criar pares de chaves privada/pública para o nome do domínio, criar e assinar a zona e gerenciar os pares de chaves. Esses processos garantem que os resolvedores com DNSSEC ativa dentro do ecossistema da Internet possam verificar a autenticidade das respostas recebidas da zona.

Também será necessário alterar a interface para os seus clientes, para que ela aceite dados da chave DNSSEC, e alterar a interface do Protocolo de Provisionamento Extensível (EPP) para transmitir dados da chave DNSSEC para os registros com os quais você interage.

Assinatura de Zona
As seguintes tarefas estão associadas à criação e assinatura de uma zona:

• Estabelecer chaves ZSK, que assinam os registros da zona
• Estabelecer as chaves KSK, que assinam os registros chave na zona e ajudar a construir a hierarquia de confiança
• Gerar uma zona não assinada
• Assinar a zona
• Testar o sistema de assinatura em um ambiente de teste offline
• Introduzir assinatura aos poucos, por exemplo, usando-a primeiramente em redes internas, para garantir que tudo continua a funcionar corretamente

Gerenciamento de Chaves Contínuo
A DNSSEC requer que você altere as chaves privadas regularmente para minimizar o risco que um ator mal intencionado obtenha sua chave. Uma sobreposição de chave envolve a alteração do par de chaves de uma zona e a reassinatura da zona com a nova chave privada. Se uma chave KSK é sobreposta, será necessário atualizar o registro com as informações da nova chave pública (registros do signatário da delegação).

As seguintes tarefas estão associadas com o gerenciamento de chaves:

• Lidar com sobreposições de chaves (regulares e de emergência) ZSK e KSK
• Realizar a reassinatura regular e programada de registros de recursos relacionados à segurança
• Atualizar a zona pai com os registros do signatário da delegação (DS records) com base nas chaves KSK

Considerações adicionais
A hospedagem de uma zona assinada requer a implementação de servidores de nomes compatíveis com DNSSEC O gerenciando das chaves requer hardware e software de DNSSEC especializados A implementação e o gerenciamento destes componentes é um processo complexo e demorado. Você tem várias opções: desenvolver uma solução de DNSSEC in-house, comprar produtos de DNS com DNSSEC habilitado padrões, ou trabalhar com um fornecedor de serviços gerenciados de qualidade, que faça a assinatura e o gerenciamento das chaves de DNSSEC.

Para soluções padrões ou in-house, será necessário planejar e programar cuidadosamente a integração dos novos dispositivos no seu sistema. Você também deverá testar a implementação dos dispositivos fora do ambiente de produção para garantir que os dispositivos funcionam corretamente quando a DNSSEC está habilitada. O Ambiente de Teste Operacional (OTE) da Verisign está disponível gratuitamente para fazer esses testes para as empresas de registros de domínios .com e .net.

Você também deve inspecionar se os seus dispositivos de rede antigos e atuais podem suportar a DNSSEC. Por exemplo: eles podem lidar com os pacotes DNSSEC, que podem ser maiores do que os pacotes tradicionais de DNS? Eles suportam o Protocolo de Controle de Transmissão (TCP) e os mecanismos de extensão para os pacotes de DNS? Uma maneira de determinar a efetividade do trabalho desses componentes com a DNSSEC é testá-los no Laboratório de Interoperabilidade da Verisign, que também é gratuito.

As registradoress podem tomar medidas progressivas para alcançar o objetivo de um sistema com DNSSEC habilitada, o que ajuda a manter a confiança de clientes e usuários finais, oferece novas oportunidades de receita e fornece uma vantagem competitiva. Com base em insights de especialistas do setor e nas lições aprendidas através da implementação do DNSSEC nas zonas raízes .edu, .net e .com, sugerimos as seguintes etapas para começar.

Explorar e educar

• Entenda como a DNSSEC se encaixa na sua estratégia de segurança cibernética.
• Conheça os benefícios e desafios da implementação das DNSSEC.
• Entenda a criptografia de chaves públicas, os padrões de criptografia e como as assinaturas digitais e as chaves públicas/privadas funcionam em conjunto.
• Garanta que suas equipes de TI e de atendimento ao cliente recebam treinamento adequado.
• Programe estratégias para educar os clientes sobre as DNSSEC.

Planejamento

• Estabeleça um cronograma para a adoção das DNSSEC.
• Decida como você integrará as DNSSEC na sua arquitetura de DNS existente.
• Considere as opções de implementação: desenvolvimento in-house, produtos padrões de DNS com DNSSEC habilitada ou serviços gerenciados.

Avaliar e atualizar

• Determinar o impacto, caso existente, que as DNSSEC terão na largura de banda da rede. (a DNSSEC aumenta o tráfego de rede)
• Considere como as DNSSEC afetarão o gerenciamento de DNS.
• Revise e atualize a segurança e as políticas de gerenciamento de chaves para incluir agendamentos para a sobreposição das chaves, refletir a respeito dos novos papéis e responsabilidades que as DNSSEC introduzem e preparar-se para o armazenamento seguro de chaves.
• Certifique-se de sua rede está configurada corretamente; certifique-se de que as definições de zonas estão precisas e completas.
• Pergunte a seus fornecedores de hardware onde a DNSSEC se encaixa em seus planos e se há atualizações disponíveis para seus atuais dispositivos de rede.
• Atualize o hardware de DNS e o software do servidor de nomes, conforme necessário, para que eles sejam compatíveis com DNSSEC.
• Avalie produtos e serviços que suportam sua implementação.

Participe

• Inscreva-se no Fórum de Registradoress da Verisign.
• Use o Ambiente de Teste Operacional (OTE) da Verisign, que permite que você teste a sua implementação DNSSEC.
• Trabalhe com consórcios do setor, entidades de padrões e fornecedores de software e hardware para ajudar a desenvolver soluções e abordagens que atendam às necessidades de sua organização.

A Verisign está comprometida a baixar os custos da sua implementação de DNSSEC e ajudá-lo a identificar a melhor estratégia de implementação. Nós desenvolvemos uma gama de ferramentas, serviços, suporte e outros recursos para ajudá-lo com a implantação e o desenvolvimento das DNSSEC.

A Verisign oferece as seguintes ferramentas e serviços para facilitar a implementação das DNSSEC para as registradoress.