Herramienta de anclaje de confianza DNSSEC

Esta herramienta obtiene el anclaje de confianza raíz DNSSEC actual desde IANA, lo valida criptográficamente y escribe la KSK (Key Signing Key) raíz como registros DNSKEY y DS.

Requiere Python 3.10+ y la herramienta de línea de comandos OpenSSL. No hay otras dependencias.

Cómo funciona

1. Obtiene el XML del anclaje de confianza desde IANA mediante HTTPS
2. Obtiene la firma S/MIME correspondiente desde IANA
3. Valida la firma usando un certificado de CA raíz de ICANN integrado
4. Extrae los resúmenes de las claves del anclaje de confianza del XML
5. Comprueba el período de validez de cada resumen
6. Obtiene la KSK raíz actual mediante Google Public DNS a través de HTTPS (recurriendo al archivo de la zona raíz)
7. Compara las KSK con los anclajes de confianza y las escribe

La validación de la firma utiliza un certificado de CA integrado en la propia herramienta, por lo que los anclajes de confianza se verifican criptográficamente independientemente de si la comprobación del certificado HTTPS tiene éxito.

Instalación

Instalar desde el repositorio:

pip install .

Esto proporciona un comando get-trust-anchor.

Uso

Ejecutar el comando instalado:

get-trust-anchor

O invocar como módulo de Python:

python -m get_trust_anchor

Opciones

Opción	Descripción
--local FILE	Usar un archivo XML de anclaje de confianza local en lugar de obtenerlo de IANA
--local-sig FILE	Usar un archivo de firma local en lugar de obtenerlo de IANA
--root-ca FILE	Usar un certificado de CA raíz personalizado en lugar del integrado
--no-validation	Omitir la validación de la firma
--ksks-from-trust-anchor	Extraer las KSK directamente del XML del anclaje de confianza en lugar de obtenerlas de DNS
--keep	Conservar los archivos temporales (XML y firma) después de la ejecución
--print-dnskey	Imprimir los registros DNSKEY en stdout en lugar de escribir archivos
--print-ds	Imprimir los registros DS en stdout en lugar de escribir archivos
--version	Imprimir la versión de la herramienta y salir

Salida

Por defecto, la herramienta escribe dos archivos en el directorio actual:

• ksk-as-dnskey.txt -- KSK raíz como registros DNSKEY
• ksk-as-ds.txt -- KSK raíz como registros DS

Use --print-dnskey o --print-ds para imprimir los registros en stdout en su lugar, adecuado para canalizar:

get-trust-anchor --print-ds | grep "^. IN DS"

Desarrollo

Instalar con las dependencias de desarrollo:

pip install -e ".[dev]"

Ejecutar las pruebas:

pytest

Comprobar formato, lint y tipos:

ruff format --check .
ruff check .
ty check

Publicación

Para publicar una nueva versión en GitHub, incremente version en pyproject.toml, haga commit y luego suba una etiqueta coincidente:

git tag v1.0.0
git push origin v1.0.0

Subir una etiqueta v* activa el flujo de trabajo de publicación, que compila el sdist/wheel y publica una GitHub Release con ellos adjuntos.

Licencia

BSD 2-Clause. Consulte LICENSE para más detalles.