Suppression de DS SHA-1

Pourquoi supprimer SHA-1 ?

Dans le cadre de la chaîne de confiance DNSSEC , les enregistrements DS sont ajoutés à la zone mère d'un domaine. Le contenu d'un enregistrement DS est la valeur de hachage de la partie publique de la clé KSK utilisée dans le sous-domaine. DNS Belgium utilise à la fois la fonction de hachage SHA-1 et SHA-256 pour les enregistrements DS dans les fichiers de zone pour les domaines .be, .vlaanderen et .brussels. 

Un document intitulé "SHA-1 is a shambles", présenté lors du Real World Crypto Symposium début janvier 2020, décrit une attaque de collision à préfixe choisi sur la fonction de hachage SHA-1, ce qui signifie que nous ne pouvons plus considérer cette fonction de hachage comme sûre. Il est donc recommandé de ne plus utiliser la fonction de hachage SHA-1, même dans les DNSSEC.

Cette page décrit le projet d'élimination des SHA-1. Il clarifie comment et quand DNS Belgium supprimera les enregistrements DS SHA-1 des fichiers de zone pour les 3 domaines, .be, .vlaanderen et .brussels.

Dans ce projet, nous ne retirerons de la zone que les enregistrements DS de type digest 1 (SHA-1). Les algorithmes DNSKEY qui utilisent également SHA-1, tels que l'algorithme 5 (RSASHA1) et l'algorithme 7 (RSASHA1-NSEC3-SHA1) sont toujours autorisés. Ils sont répertoriés dans RFC8624 comme NON RECOMMANDÉS, et seront progressivement éliminés dans le cadre d’un autre projet.

Zone racine

Les enregistrements DS nécessaires à la chaîne de confiance DNSSEC pour les domaines dont DNS Belgium est responsable (.be , .vlaanderen et .brussels) ont été ajoutés à la zone racine. Avant le début du projet de suppression de SHA-1, nous avions déjà ajouté 2 enregistrements DS pour ces domaines à la zone racine, un enregistrement avec la valeur de hachage SHA-1 et un enregistrement avec la valeur de hachage SHA-256.  

Puisque de nos jours, tous les serveurs de noms des résolveurs DNS validant le DNSSEC peuvent gérer les valeurs de hachage SHA-256, nous pouvons supprimer les enregistrements DS SHA-1 de la zone racine pour ces 3 domaines sans impact pour le monde extérieur.

Zone .be

Via la plate-forme d'enregistrement de DNS Belgium, l'agent d'enregistrement télécharge la partie publique de la clé KSK pour les sous-domaines du domaine .be qui ont mis en œuvre la DNSSEC. DNS Belgium calcule les valeurs de hachage pour les enregistrements DS et les ajoute au fichier de zone .be. Avant le début du projet de "suppression de SHA-1" il s’agissait de 2 enregistrements DS : un enregistrement avec la valeur de hachage SHA-1 de la clé publique KSK, et un enregistrement avec la valeur de hachage SHA-256.  La modification qui doit être effectuée dans le cadre du projet de suppression de la SHA-1 pour la zone .be est entièrement contrôlée par le registry DNS Belgium, qui n'ajoutera plus d'enregistrement SHA-1 au fichier de zone .be.

Nous appliquerons ce changement au fichier de zone par étapes, de manière à limiter l'impact éventuel. Premièrement, nous n'ajouterons plus l'enregistrement DS SHA-1 au fichier de zone pour tous les sous-domaines commençant par la lettre A (ou, en d'autres termes, nous n'ajouterons que l'enregistrement DS SHA-256 au fichier de zone). Après vérification, nous ferons de même pour les sous-domaines commençant par les lettres B à G inclus. Ensuite, nous n'ajouterons plus l'enregistrement DS SHA-1 au fichier de zone pour toute la zone .be. Ce phasage est possible parce que le fichier de zone est constamment regénéré à l’aide de Zonepub.

Zone .vlaanderen-/.brussels

Les enregistrements DS dans les fichiers de zone pour les domaines gTLD, .vlaanderen et .brussels, sont ajoutés de manière légèrement différente. Ici, l'agent d'enregistrement calcule lui-même la valeur de hachage pour l'enregistrement DS et la transmet au registry, DNS Belgium, via le protocole EPP. DNS Belgium ajoute ensuite cet enregistrement au fichier de zone respectif de .vlaanderen ou .brussels. Il appartient donc aux agents d'enregistrement de ne plus transmettre d’enregistrements DS SHA-1 mais bien l'enregistrement DS SHA-256 pour les sous-domaines qui ont mis en œuvre la DNSSEC. Nous demandons également aux agents d'enregistrement de remplacer les enregistrements DS SHA-1 qui ont déjà été ajoutés au fichier de zone .brussels ou .vlaanderen par des enregistrements DS SHA-256.

  • Si 2 enregistrements DS ont déjà été créés pour un sous-domaine, l’agent d'enregistrement peut facilement supprimer l'enregistrement DS SHA-1.
  • S'il n'y a qu'un seul enregistrement DS pour un sous-domaine et qu'il contient une valeur de hachage SHA-256, rien ne doit se passer. 
  • S'il n'y a qu'un seul enregistrement DS pour un sous-domaine et qu'il contient une valeur de hachage SHA-1, l’agent d'enregistrement doit le remplacer par un enregistrement DS SHA-256 selon la procédure ci-dessous : 
    • Ajouter l’enregistrement DS SHA-256 
    • Vérifier qu'il se trouve effectivement dans la zone
    • Attendre la période d'au moins 1 TTL (1 jour)
    • Supprimer l'enregistrement DS SHA-1 

Vous trouverez de plus amples informations sur les pages suivantes :

Planning

Voici le planning de DNS Belgium pour la suppression de tous les enregistrements DS SHA-1 pour les domaines .be, .vlaanderen et .brussels :

  1. Nous allons supprimer l'enregistrement SHA-1 DS du fichier racine pour les domaines .vlaanderen et .brussels.
  2. Phase 1 de la suppression du SHA-1 du fichier de zone .be pour tous les sous-domaines commençant par la lettre A. 
  3. Phase 2 de la suppression du SHA-1 du fichier de zone .be pour tous les sous-domaines commençant par la lettre A à G. 
  4. Phase 3 de la suppression du SHA-1 du fichier de zone .be pour tous les sous-domaines.
  5. Nous supprimons l'enregistrement SHA-1 DS du fichier racine pour le domaine .be.
  6. Commencer le cycle d'information pour le retrait des enregistrements SHA-1 du fichier de zone .vlaanderen et .brussels ; demander aux agents d'enregistrement de ne plus ajouter d’enregistrements DS SHA-1 et de remplacer les enregistrements DS de type 1 par des enregistrements DS de type 2.

Liens (en anglais)