Vlákno názorů k článku Co všechno si chcete platit v ceně české domény od Jan Nový - Já tedy možná jeste spím, ale nějak mi...

Já tedy možná jeste spím, ale nějak mi pár věcí nesedí. Dial Telecom je podle webu dlouholetý člen CZ.NIC. Jako ISP podporuje DNSSEC. Zbyněk Pospíchal je členem kolegia, které projekty schválilo. A teď když je vše hotovo, tak se na ptá jestli to chceme platit? Má Dial Telecom jasno v tom, co dělá?

Jinak s rozumnými projekty problém nemám. Cenu bych rozhodně nesnižoval. Nízká cena pomáhá pouze spekulantům a že je jich v CZ dost. Pro podnikání je úplně jedno, kolik doména stojí.

Není to spíše naopak? Firmy, které na to mají vlastní techniky, se dokáží ochránit samy. Navíc také často používají své vlastní DNS servery. Právě ti domácí uživatelé potřebují ochránit nejvíce, protože nikdo z nich vlastní DNS server nemá a závisí tedy na serveru svého ISP.

A jestli to má DialTelecom nasazeno jen na některých serverech, tak je to to nejhorší řešení, protože i ti uživatelé, kteří se o bezpečnost starají mohou nabýt dojmu, že jsou v bezpečí a pak jen tím, že jim odpoví jiný server (který DNSSEC nepodporuje), stejně může dojít k tomu, že budou napadeni.

A co odpoved na druhou otazku? Ty vnejsi proklamace, jak je to podporovane. Podle me to je jen klamani zakazniku...

To by me v tom pripade zajimalo, kdo je puvodcem informace uvedene napriklad na strankach enum. Z tohoto vetsina nabyva dojmu, ze uz to davno podporujete. Ad homimenm se tu nebavime, bavime se o konkretnich souvisejicich vecech ve fakticke rovine (tedy alespon ja).

Nemáte pravdu. Alespoň z toho co jsem o DNS a DNSSECu pochopil, tak je to o dopadu takového útoku. Není zajímavé útočit na koncové počítače přes DNS (to už je zajímavější a výrazně jednodušším je napadnout přímo nějakým červem), zatímco napadnout DNS server ISP je mnohem mnohem zajímavější z toho, že dopad takového podvrženého DNS záznamu bude o několik řádů vyšší - budou jím ovlivněni všichni uživatelé takového DNS serveru.

Přestaňte se točit dokola. Je to tak, že DNSSEC podporujete nebo ne? Pokud jej nepodporujete, tak byste to měli veřejně deklarovat a CZ.NIC by vás měl odstranit ze svých stránek.

Není vůči uživatelům fér, abyste prohlašovali, že DNSSEC podporujete a pravda je někde jinde. Je to stejné, jako byste prohlašoval, že v Dolním Zakopaném se lidé mohou připojit přes optiku až do domu a ve skutečnosti byste ještě ani nekopli do země... a nakonec by z vás vypadlo, že ideu optické sítě v Dolní Zakopaném podporujete.

Ten odkaz a článek je i na neenumových stránkách CZ.NICu:

http://www.nic.cz/page/517/kdo-vas-chrani-pomoci-dnssec-/

Je na držitelích domén, zda si tu svou zabezpečí či nikoliv. Lze očekávat, že například banky zabezpečí v krátkém časovém horizontu ve vlastním zájmu. Obecně některé domény podepsané už jsou, tedy jejich vlastníci o podvrhy nestojí. Vy přesto hledáte nějakou výmluvu, proč mít služby u Vás děravé.
Nabízí se tu ještě jedno zdůvodnění - zabezpečit své servery co nejdřív nechcete, protože sám těch děr k něčemu nečistému využíváte... :o)

A resolver v kteremze OS uz dnes podporuje DNSSEC, aby vubec takova otazka byla relevantni?

I ve vasem pocitaci je DNS resolver a prave ten to musi podporovat, jinak je vam podpora DNSSEC u ISP platna jako mrtvemu zimnik.

No vsak take probiha implementace, nicmene absence podpory u *vsech* koncovych uzivatelu je docela padny argument prinejmensim proto to delat postupne a nikoli prekotne.

Pardon, chtel jsem rici, ze drtiva vetsina domen neni podepsana.

A ze se ani nepredstavite...

Neni tam zasadni problem, nicmene po zkusenostech to interni testovani trva ponekud dele.

Tak mluvis o DNSSEC nebo o ENUM?

Ano, vyjadrim - je to nedorozumeni. Vic via ICQ.

Jenze drtiva vetsina domen DNSSEC implementovan nema. A pak koncovy uzivatel dostane ten podvrzeny A-zaznam, at se nam to libi nebo ne. Jiste, je to zase vec kriticke masy a jak mnozstvi podepsanych domen poroste, bude se to zlepsovat.

Muzete mi rici, proc bych mel nekomu podvrhovat stranky pres DNS, kdyz to bych to mohl udelat na urovni samotneho IP provozu? :-)

Zjevne mate spoustu casu na vedeni flamewar, k tomu Vam pochopitelne gratuluji. Kazdopadne je-li podepsano par procent zon, dovolim si upozornit, ze vyrazne vyssi priorita je efektivni fungovani stavajiciho DNS a plynuly prechod, nez potencialni ohrozeni funkcnosti techto sluzeb nejakym upgradem (jako jsme toho byli svedky u toho workaround patche na Kaminskeho bug).

Obvinite-li nekoho z neceho, mel byste byt schopen sve tvrzeni prokazat.

Myslim, ze michas dve veci. Problemy s vykonem Binda byly v case, kdy vychazela opravy na Kaminskeho chyby. Vedelo se o tom a oprava reflektujici i ten pozadavek vykon je na svete taky uz pomerne dlouho (jestli si dobre vzpominam, tak to bylo do mesice od tech prvotnich oprav; cele toto je tema nekdy z cervence 2008).

DNSSEC je mimo tohle cele - a pokud jej z nejakeho duvodu nechcete (to pravo vam nikdo neupira, byt nad tim kroutim nechapave hlavou), pak nechapu, proc do CZ.NICu tlacite informaci, jak DNSSEC podporujete, kdyz tu sam ted priznavas, ze vlastne ne. Nebo snad dokazes verohodne dokumentovat nejaky zasadni problem i s timto?

Nicmene, mnohem vetsi pravdepodobnost ma utok na cachujici nameserver u ISP, nez utok na lokalni resolver koncoveho uzivatele. Je vseobecne zname, ze ani existujici problemy plnohodnotne problem "Kaminsky" neresi, ani nemuzou, nejde to z natury DNS - spise jen ztezuji utok, ale rozhodne jej nikdy zcela neznemoznis.

DNSSEC je asi jedinym realnym zpusobem, kterak se branit. Samozrejme, podpora u koncovych uzivatelu by byla fajn, ale ta je zatim nerealna (byt i Microsoft se k tomu stavi celem, takze ve Windows se nekdy dockame). Absence podpory u koncoveho uzivatele ale nemuze byt argumentem pro nenasazeni u ISP, jehoz DNS pouzivaji a na jehoz odpovedi spolehaji tisice a vice lidi. I tam je mozne potvrhu zabranit.

Koncovy uzivatel si zatim nemusi nic zjistovat, protoze jeho resolver s podpisy nepracuje, takze mu muze byt jedno, zda server DNSSEC podporuje nebo ne. A jak jsem psal vyse, nejsou zdaleka podepsane vsechny zony (ani TLD), cili i pokud samotny server DNSSEC podporuje, muze se vam stat, ze dostanete podvrzeny A-zaznam.

A to je důvod, proč nezabezpečit ty, co podepsáné jsou? Nebo čekáte až zahřmí a najednou všechny zóny podepsané budou? Pokud se DNSSECu účastnit nechcete, tak to deklarujte a přestaňte si hrát na chytrou horákyni. Moc vám to nejde.

Zato Vy tu jdete příkladem, že pane Vendelíne a podepisujete se pod své názory vždy jen svým jménem :o)

Pane kolego,

ted se resi par dalsich projektu, ktere schvaleny jeste nebyly.

S podporou DNSSEC je to slozitejsi, bohuzel na produkcni DNS software se klade jeste cela rada dalsich naroku (napriklad rychlost odezvy a spolehlivost takoveho software). Bohuzel vyvoj jeste nepokrocil tak daleko, aby to jiz mohlo byt nasazeno.

Dane, jedina informace, ktera sla ven, byla, ze DNSSEC podporovat chceme a budeme. Na tom se nic nemeni. Jestli v tom vidis nejake klamani zakazniku, tak nevim.

Jo a dovolil bych si pripomenout, ze otazka polozena clankem byla, zda vlastnici ceskych domen chteji ze svych poplatku financovat domeny nekomu jinemu (tedy to, jak je dnes postavena obchodni politika ENUMu). Zbytek (cele tohle vlakno) je argumentace ad hominem.

Kazdopadne zdaleka vsechny zony nejsou podepsane, ze.

No, ale vy v článku nepíšete o projektech, které ještě schváleny nebyly. Vy píšete o projektech, které schváleny byly - tudíž platí výrok předchozího přispěvatele.

Hmm, a vy jste kdo? Ze zkratky ZP budu odhadovat, že autor článku, ale když bych teda místo svého jména napsal PP (podotýkám, že nejsem autor původního názoru), tak by to zjevně bylo podle vás v pořádku.

Z mého pohledu 'uživatel si přál zůstat v anonymitě' je stejné jako 'ZP', takže to od vás opravdu sedí.

Takze na nekterych DNS Dialu to bezi a na nakterych ne? Kdyz tvrdite, ze DNSSEC jeste neni dovyvinuty, tak proc jste ho nekde nasadili? Takhle budujete site?

Kazdopadne sedim ted na siti GTS a podle http://www.nic.cz/dnssec/ mi DNSSEC funguje. A pritom GTS je vetsi sit. Asi maji v GTS jine techniky....

Právě proto, že podpora je slabá, musí domácí uživatele zabezpečit jejich ISP. Mezi DNS serverem ISP a počítačem domácího uživatele už je jen síť ISP a v té by provoz měl být bezpečný. Nebo to znamená, že u DialTelecomu bezpečný není, a proto musí mít uživatelé svůj vlastní DNSSEC resolver?

Pod 'probíhá implementace' si mám teda představit:

Někde jsme to nasadili a někde ne, a je na koncovém uživateli, aby si to zjistil sám? Takto u Dial Telecomu probíhá 'implementace' i jiných věcí?

Je videt, ze to vubec nechapes. Bez ohledu na podporu u koncovych uzivatelu jsou dva stavy, jak se ten tvuj DNS server postavi k podvrzene informaci u tech domen, ktere DNSSEC implementovan maji a tedy jeji vlastnik ma zajem na nejakem lepsim zabezpeceni. Bud tu podvrzenou informaci tupe prepapouskuje dal (v pripade, ze DNSSEC nepodporuje), nebo tomu koncovemu uzivateli odpovi chybou (a tedy informaci nepreda). Viz i ty vystupy z digu, ktere sem nekdo pastoval uz rano. Z tvych nazoru zde usuzuju, ze radeji predas tu podvrzenou informaci... smutne u providera, ale co uz.

Jo, to je ten lepsi zdroj (i kdyz informace ta sama).

Tak co Zbynku, vyjadris se?