Fefes Blog

Fragen? Antworten! Siehe auch: Alternativlos

Wed Dec 29 2010

• [l] Dan Bernstein (der von qmail und djbdns) hat gestern einen 27c3-Vortrag gehalten, über "high-speed high-security cryptography", und der enttäuschte nicht. Die erste halbe Stunde war eine genüsslich zelebrierte Versenkung von DNSSEC, und danach schlug er vor, über UDP auf Port 53 (der DNS-Port) Krypto-Pakete zu verschicken, innerhalb von den Paketen dann nochmal etwas wie TCP zu implementieren für TCP (aber innerhalb der Verschlüsselung, damit TCP Reset nicht so einfach geht wie im Moment), und den Schlüsselaustausch über DNS zu machen. Für DNS hat er ja bereits dnscurve vorgeschlagen, um das abzusichern. Für die endgültige Frage, wer den root trust haben soll, hat er auch noch keine gute Antwort. Er meint, früher fand er, das sei schon OK so wie jetzt mit einer Root-Zone, aber mit Verweis auf die Contentmafia-Domainsperren meinte er, das sehe er inzwischen differenzierter.

  Der Vorschlag fußt darauf, dass er pro Minute eine Million verschlüsselte Pakete gemessen hat, wobei jedes Paket einen eigenen Schlüssel gekriegt hat, also tatsächlich 1 Million Public Key Operationen pro Minute. Das ist auf einem Intel Quad Core, aber nicht die High-End-Variante meinte er, das sei ja inzwischen billig genug, dass man Performance nicht mehr als Ausrede hernehmen dürfe, das nicht zu tun.

  Seine Argumentation hätte ich stringenter gefunden, wenn er da nicht im Wesentlichen Dinge tut, die er vorher bei DNSSEC kritisiert hat. Z.B. hat sein Modell einen kleinen Proxy für den Übergang, und bei DNSSEC hat er kritisiert, dass zwischen Stub Resolver und Resolver nicht geschützt ist. Außerdem griff er DNSSEC damit an, dass man es für Denial of Service benutzen kann, weil die Antworten so viel größer sind als die Anfragen. Er muß auch Krypto-Schlüssel verteilen per DNS, auch wenn die weniger groß sind als bei DNSSEC, weil er statt RSA ECC benutzt.

  Dennoch hatte der Vorschlag soweit Hand und Fuß und ist einen Test wert. Und besser als die Alternativen ist es allemal.