algoritmos de firma DNSSEC

(Sí, la pregunta es antigua, pero merece una respuesta.)

Algunas reglas para criptografía moderna:

• MD5 está muerto
• RSA de 1024 bits está muerto
• SHA1 está muriendo

El uso de un HMAC para DNSSEC no tiene sentido, un HMAC requiere que ambas partes tengan acceso al mismo secreto; En el contexto de DNSSEC, esto significa que los clientes podrían falsificar el servidor, haciéndolo inútil.

Hay una muchos algoritmos que faltan en su lista, no sé por qué Virtualmin le da esas opciones. Las opciones de ECDSA le dan respuestas más pequeñas y un uso de CPU algo menor en las operaciones de firma.

Dado el tiempo de vida relativamente corto de las claves DNSSEC & respuestas, preferiría opciones más cortas después de tomar en cuenta todo lo anterior. Esto significa el uso de RSASHA256 con una clave RSA de 2048 bits o ECDSAP256SHA256 (ECDSA de 256 bits con SHA256).

A partir de septiembre de 2018, Viktor Dukhovni informó los algoritmos observados en uso y las longitudes de clave son:

DNSKEY parameter frequency (1000 or more instances), by zone count:

 kskalgs | flags | proto | alg
 --------+-------+-------+-----
    4780 |   257 |     3 |   3
  358979 |   257 |     3 |   5
 2210428 |   257 |     3 |   7
 4198328 |   257 |     3 |   8
   87469 |   257 |     3 |  10
 1844138 |   257 |     3 |  13
   62481 |   257 |     3 |  14
 --------+-------+-------+-----

 zskalgs | flags | proto | alg
 --------+-------+-------+-----
    4780 |   256 |     3 |   3
  132748 |   256 |     3 |   5
 2192269 |   256 |     3 |   7
 4142767 |   256 |     3 |   8
   87250 |   256 |     3 |  10
  791434 |   256 |     3 |  13
   61548 |   256 |     3 |  14
 --------+-------+-------+-----

RSA key size distribution (1000 or more instances), by zone count:

 kskdomains | bits
------------+------
      67580 | 4096
    5149822 | 2048
     302182 | 1536
       2992 | 1280
    1333428 | 1024
       8392 |  512
------------+------

 zskdomains | bits
 -----------+------
      13287 | 4096
     110595 | 2048
     306770 | 1280
    6115735 | 1024
       8169 |  512
 -----------+------

El enlace en la respuesta de David a la RFC traducirá el número alg al algoritmo real.

Victor publica actualizaciones de estos datos en la lista dns-operations de forma regular. Si está involucrado en operaciones de DNS para su organización, le recomiendo que se suscriba a la lista.