Ferramenta de Trust Anchor DNSSEC

Esta ferramenta obtém o trust anchor raiz DNSSEC atual do IANA, valida-o criptograficamente e escreve a KSK (Key Signing Key) raiz como registros DNSKEY e DS.

Requer Python 3.10+ e a ferramenta de linha de comando OpenSSL. Não há outras dependências.

Como funciona

1. Obtém o XML do trust anchor do IANA via HTTPS
2. Obtém a assinatura S/MIME correspondente do IANA
3. Valida a assinatura usando um certificado ICANN Root CA incorporado
4. Extrai os digests da chave do trust anchor a partir do XML
5. Verifica o período de validade de cada digest
6. Obtém a KSK raiz atual via Google Public DNS por HTTPS (recorrendo ao arquivo da zona raiz)
7. Compara as KSKs com os trust anchors e escreve-as

A validação da assinatura usa um certificado CA incorporado na própria ferramenta, pelo que os trust anchors são verificados criptograficamente independentemente de a verificação do certificado HTTPS ser bem-sucedida.

Instalação

Instale a partir do repositório:

pip install .

Isto disponibiliza o comando get-trust-anchor.

Utilização

Execute o comando instalado:

get-trust-anchor

Ou invoque como módulo Python:

python -m get_trust_anchor

Opções

Opção	Descrição
--local FILE	Usar um ficheiro XML de trust anchor local em vez de obter do IANA
--local-sig FILE	Usar um ficheiro de assinatura local em vez de obter do IANA
--root-ca FILE	Usar um certificado root CA personalizado em vez do incorporado
--no-validation	Ignorar a validação da assinatura
--ksks-from-trust-anchor	Extrair as KSKs diretamente do XML do trust anchor em vez de obter via DNS
--keep	Manter os ficheiros temporários (XML e assinatura) após a execução
--print-dnskey	Imprimir os registros DNSKEY para stdout em vez de escrever ficheiros
--print-ds	Imprimir os registros DS para stdout em vez de escrever ficheiros
--version	Imprimir a versão da ferramenta e sair

Saída

Por predefinição, a ferramenta escreve dois ficheiros no diretório atual:

• ksk-as-dnskey.txt -- KSKs raiz como registros DNSKEY
• ksk-as-ds.txt -- KSKs raiz como registros DS

Use --print-dnskey ou --print-ds para imprimir os registros para stdout em vez disso, adequado para piping:

get-trust-anchor --print-ds | grep "^. IN DS"

Desenvolvimento

Instale com as dependências de desenvolvimento:

pip install -e ".[dev]"

Execute os testes:

pytest

Verifique formatação, lint e tipos:

ruff format --check .
ruff check .
ty check

Lançamento

Para publicar uma nova versão no GitHub, incremente version em pyproject.toml, faça commit e depois envie uma tag correspondente:

git tag v1.0.0
git push origin v1.0.0

O envio de uma tag v* aciona o workflow de lançamento, que compila o sdist/wheel e publica um GitHub Release com eles anexados.

Licença

BSD 2-Clause. Consulte LICENSE para detalhes.