Инструмент для работы с доверенными якорями DNSSEC

Этот инструмент получает текущий корневой доверенный якорь DNSSEC от IANA, криптографически проверяет его и выводит корневой KSK (Key Signing Key) в виде записей DNSKEY и DS.

Требуется Python 3.10+ и утилита командной строки OpenSSL. Других зависимостей нет.

Как это работает

1. Получает XML доверенного якоря от IANA по HTTPS
2. Получает соответствующую подпись S/MIME от IANA
3. Проверяет подпись с помощью встроенного сертификата ICANN Root CA
4. Извлекает дайджесты ключей доверенного якоря из XML
5. Проверяет срок действия каждого дайджеста
6. Получает текущий корневой KSK через Google Public DNS по HTTPS (с переходом на файл корневой зоны в случае неудачи)
7. Сопоставляет KSK с доверенными якорями и выводит их

Проверка подписи использует сертификат CA, встроенный в сам инструмент, поэтому доверенные якоря криптографически проверяются независимо от того, успешна ли проверка сертификата HTTPS.

Установка

Установка из репозитория:

pip install .

Это предоставляет команду get-trust-anchor.

Использование

Запустите установленную команду:

get-trust-anchor

Или вызовите как модуль Python:

python -m get_trust_anchor

Параметры

Параметр	Описание
--local FILE	Использовать локальный XML-файл доверенного якоря вместо загрузки от IANA
--local-sig FILE	Использовать локальный файл подписи вместо загрузки от IANA
--root-ca FILE	Использовать пользовательский сертификат корневого CA вместо встроенного
--no-validation	Пропустить проверку подписи
--ksks-from-trust-anchor	Извлекать KSK напрямую из XML доверенного якоря вместо получения из DNS
--keep	Сохранять временные файлы (XML и подпись) после запуска
--print-dnskey	Выводить записи DNSKEY в stdout вместо записи в файлы
--print-ds	Выводить записи DS в stdout вместо записи в файлы
--version	Вывести версию инструмента и завершить работу

Вывод

По умолчанию инструмент записывает два файла в текущий каталог:

• ksk-as-dnskey.txt -- корневые KSK в виде записей DNSKEY
• ksk-as-ds.txt -- корневые KSK в виде записей DS

Используйте --print-dnskey или --print-ds, чтобы вместо этого выводить записи в stdout, что удобно для передачи через конвейер:

get-trust-anchor --print-ds | grep "^. IN DS"

Разработка

Установка с зависимостями для разработки:

pip install -e ".[dev]"

Запуск тестов:

pytest

Проверка форматирования, линтинга и типов:

ruff format --check .
ruff check .
ty check

Выпуск версии

Чтобы опубликовать новую версию на GitHub, измените version в pyproject.toml, зафиксируйте изменение, затем отправьте соответствующий тег:

git tag v1.0.0
git push origin v1.0.0

Отправка тега v* запускает рабочий процесс выпуска, который собирает sdist/wheel и публикует GitHub Release с прикреплёнными к нему файлами.

Лицензия

BSD 2-Clause. Подробности см. в LICENSE.