Перейти к содержимому
Калькуляторы
  

39 пользователей проголосовало

  1. 1. Внедрили вы DNSSEC на свои резолверы?

    • Да, и оно точно работает.
      4
    • Демоны (bind или unbound) собраны с его поддержкой/железо это умеет, а как оно работает - ХЗ
      15
    • Мне это до лампочки, пользователю всёравно оно не надо
      19
    • Мы это всё сознательно погасили
      1

DNSSEC и Вы Так ли критичен ipv6, может есть что-то важнее?

Ответить

Aliech   

Aliech
Опубликовано (изменено) · Жалоба

Вот в этой ветке форума есть темы про внедрение ipv6. И, кстати, я за него двумя руками, но тема не о том...

 

Захотел я потрогать DNSSEC, дабы пользоваться плагином к своему Firefox. То есть проверять валидность ответов, на случай подмены. И на тебе: резолвер провайдера явно не поддерживает данную технологию. Позвонил в ТП, а мне там, после двадцати минут ожидания, рассказали, что, видите ли, это совсем не надо! Ибо это не часть интернета, а лишняя приблуда! Вот тебе и защита пользователей от мошенничества.

 

Товарищи, может кто-то у себя уже внедрил? Неужто всем глубоко пофиг?

Изменено пользователем Aliech

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

ipaddr.ru   

ipaddr.ru
Опубликовано · Жалоба

В окружающем меня ccTLD подписано около 30% доменов. Разумеется, не пофиг.

 

Но странно как-то работает ваш плагин - dnssec-validator, насколько я помню, умеет сам ходить от рута или через trusted source. Ну а провайдеру стоило б обновить свой bind 4.4.

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

Aliech   

Aliech
Опубликовано (изменено) · Жалоба

В окружающем меня ccTLD подписано около 30% доменов. Разумеется, не пофиг.

 

Но странно как-то работает ваш плагин - dnssec-validator, насколько я помню, умеет сам ходить от рута или через trusted source. Ну а провайдеру стоило б обновить свой bind 4.4.

 

До плагина ещё не дошло даже, я drill'ом смотрел.

 

UPD: выглядит так, будто у них не прописан ключ для рута...

Изменено пользователем Aliech

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

rps   

rps
Опубликовано (изменено) · Жалоба

Недавно tci начисто поломал зону .рф на несколько дней кривым её подписыванием. Так что есть мнение, что пока рано на хомячков включать.

Так что в голосовалке не хватает пункта "сознательно выключили".

Изменено пользователем rps

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

Aliech   

Aliech
Опубликовано · Жалоба

Добавил

 

Хотя тенденция уже заметна...

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

ipaddr.ru   

ipaddr.ru
Опубликовано · Жалоба

Недавно tci начисто поломал зону .рф на несколько дней кривым её подписыванием. Так что есть мнение, что пока рано на хомячков включать.

Так что в голосовалке не хватает пункта "сознательно выключили".

А я чего-то не заметил. Неудивительно, конечно, никому нафиг не сдался .рф. Есть где-нибудь расследования?

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

rps   

rps
Опубликовано · Жалоба

А я чего-то не заметил. Неудивительно, конечно, никому нафиг не сдался .рф.

У нас абоненты начали жаловаться на недоступность каких-то ресурсов в нем.

Я изучение проблемы не сохранил, но, емнип, они NSEC3 не выдавали для имён второго уровня.

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

Domainer   

Domainer
Опубликовано · Жалоба

Кто-нибудь реализовал у себя сабж?

Попробовал подписать домен в зоне .ua (корень уже подписан). Валидаторы отвечают что все ок, кроме того что на сервере .ua нет DS-записи о домене (возможная причина в том, что в ua DS пока что вручную добавляется).

 

Вопрос в BIND'е. Создал KSK и ZSK домена, изменил в конфиге путь к файлу зоны на examle.com.signed. После этого зона успешно подписывается, но:

1. Если скопировать ds записи в оригинальную зону и заново ее подписать, ошибка:

 

dnssec-signzone: fatal: 'examle.com': found DS RRset without NS RRset.

 

Удаляю DS-ки - все ок, зона подписывается и обновляется.

Подписал зону на слейве - все-равно потом при наличии DS-записей не работает. Что я делаю не так?

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

Ivan_83   

Ivan_83
Опубликовано · Жалоба

Тут дело не в защите пользователей а в контроле за интернетом со стороны держателей ключей рутовой зоны.

Пока наши долпаёпы играются с выборочной блокировкой на территории страны, умные люди тихо внедрили DNSEC и теперь могут выключать что хотят.

Пользователи могли бы защитится тупо перейдя на TCP, ещё там была фича с регистром букв в доменных именах запросов и ответов для расширения DNS msg ID в плане битности, опять же для избежания получения "ответов" от левых источников.

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

Aliech   

Aliech
Опубликовано · Жалоба

Тут дело не в защите пользователей а в контроле за интернетом со стороны держателей ключей рутовой зоны.

Пока наши долпаёпы играются с выборочной блокировкой на территории страны, умные люди тихо внедрили DNSEC и теперь могут выключать что хотят.

Пользователи могли бы защитится тупо перейдя на TCP, ещё там была фича с регистром букв в доменных именах запросов и ответов для расширения DNS msg ID в плане битности, опять же для избежания получения "ответов" от левых источников.

 

А не бред ли?

а) кто сказал, что нельзя обрубить домен без DNSSEC?

б) кто сказал, что пользователя спасёт TCP?

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

s.lobanov   

s.lobanov
Опубликовано · Жалоба

б) кто сказал, что пользователя спасёт TCP?

 

теоретически и криптография не спасает, существует ненулевая вероятность угадать. точно так же эта вероятность существует и в tcp(угадать номера), да она больше, чем при использовании dnssec, но тоже близка к нулю

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

Ivan_83   

Ivan_83
Опубликовано · Жалоба
А не бред ли?

Время покажет.

 

а) кто сказал, что нельзя обрубить домен без DNSSEC?

Как вы собрались разом взять и выключить, например ru?

В DNSSEC на корневых серверах просто прекратят отдавать и всё.

Свои корневые можно поднять за 1 минуту, только клиенты с них будут ответы режектить, ибо они не подписаны, ибо закрытого ключа от рута не дали.

 

б) кто сказал, что пользователя спасёт TCP?

Смотря от чего.

Вот когда клиенту пытаются отравить кеш и льют постоянно левые ответы то очень спасёт.

А когда кто то захватил IP адрес где днс, то не поможет.

 

теоретически и криптография не спасает, существует ненулевая вероятность угадать. точно так же эта вероятность существует и в tcp(угадать номера), да она больше, чем при использовании dnssec, но тоже близка к нулю

Там криптография на эллиптических кривых, уж не помню сколько там подпись, но даже 96 бит отгадать несколько затруднительно.

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

ipaddr.ru   

ipaddr.ru
Опубликовано · Жалоба

Кто-нибудь реализовал у себя сабж?

Попробовал подписать домен в зоне .ua (корень уже подписан). Валидаторы отвечают что все ок, кроме того что на сервере .ua нет DS-записи о домене (возможная причина в том, что в ua DS пока что вручную добавляется).

 

Вопрос в BIND'е. Создал KSK и ZSK домена, изменил в конфиге путь к файлу зоны на examle.com.signed. После этого зона успешно подписывается, но:

1. Если скопировать ds записи в оригинальную зону и заново ее подписать, ошибка:

 

dnssec-signzone: fatal: 'examle.com': found DS RRset without NS RRset.

 

Удаляю DS-ки - все ок, зона подписывается и обновляется.

Подписал зону на слейве - все-равно потом при наличии DS-записей не работает. Что я делаю не так?

 

Я реализовывал, у меня около десятка доменов в ru/su и столько же в com/net/org. DS-записей в подписываемой зоне (если это stub-зона) быть не должно. Судя по неизменившемуся количеству DS-записей в .ua, вы свои DS не опубликовали. Хотите - напишите мне в личку, помогу разобраться.

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

telefonshik   

telefonshik
Опубликовано · Жалоба

Разбираюсь, как настроить dnssec. Везде написано как настраивать Master DNS (генерация ключей и тд ),а про secondary DNS нигде не написано.

DNSSec для secondary DNS не нужно настраивать?

-Если не нужно то почему хотя бы в 2х словах.

-Если нужно то как? Где про это можно почитать?

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

Domainer   

Domainer
Опубликовано (изменено) · Жалоба

Судя по неизменившемуся количеству DS-записей в .ua, вы свои DS не опубликовали

А где это можно проверять?

Наверное так и есть, потому что на сайте ICANN в разделе dnssec указано, что DS в .ua прописываются вручную. А Хостмастер пока ничего не ответил мне по этому поводу:)

Изменено пользователем Domainer

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

ipaddr.ru   

ipaddr.ru
Опубликовано · Жалоба

А где это можно проверять?

 

Для единичных доменов - запрос DS у auth NS для ua, ну или пока внедрение идёт медленно - kaa.ru/dnssec.

 

DNSSec для secondary DNS не нужно настраивать?

-Если не нужно то почему хотя бы в 2х словах.

-Если нужно то как? Где про это можно почитать?

Практически - не нужно. Ваша зона по AXFR/IXFR попадает на секондари и тот отдает уже подписанные ответы. Нужно лишь убедиться, что на секондари не стоит BIND4, что секондари не позволяет рекурсию для всего мира и всё такое обще-безопасное :)

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

telefonshik   

telefonshik
Опубликовано · Жалоба

Практически - не нужно. Ваша зона по AXFR/IXFR попадает на секондари и тот отдает уже подписанные ответы. Нужно лишь убедиться, что на секондари не стоит BIND4, что секондари не позволяет рекурсию для всего мира и всё такое обще-безопасное :)

 

А если бесплатными ,чужими secondary DNS пользоваться, то зона будет скомпрометирована или нет?

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

vop   

vop
Опубликовано · Жалоба

Практически - не нужно. Ваша зона по AXFR/IXFR попадает на секондари и тот отдает уже подписанные ответы. Нужно лишь убедиться, что на секондари не стоит BIND4, что секондари не позволяет рекурсию для всего мира и всё такое обще-безопасное :)

 

А если бесплатными ,чужими secondary DNS пользоваться, то зона будет скомпрометирована или нет?

 

Подписанная зона доверенным ключем будет корректна, по сути, независимо от источника ее получения. В этом случае остается только вопрос "протухшей" зоны.

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

ipaddr.ru   

ipaddr.ru
Опубликовано · Жалоба
А если бесплатными ,чужими secondary DNS пользоваться, то зона будет скомпрометирована или нет?

У секондари не должно быть ключей (закрытых их частей). Равно как не должно их быть и у праймери NS.

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

telefonshik   

telefonshik
Опубликовано · Жалоба

В этом случае остается только вопрос "протухшей" зоны.

 

А протухшая зона что означает?

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

st_re   

st_re
Опубликовано · Жалоба

Это значит что вы отдаете www.ZONE.RU A 1.2.3.4 уже неделю как, а с секондари отдается старый www.ZONE.RU A 2.3.4.5, но он подписан вашим ключем и ему тоже верят.

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.

Гость
Ответить в тему...

×   Вставлено в виде отформатированного текста.   Вставить в виде обычного текста

  Разрешено не более 75 смайлов.

×   Ваша ссылка была автоматически встроена.   Отобразить как ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставить изображения напрямую. Загрузите или вставьте изображения по ссылке.

×
Подписчики 0
Перейти к списку тем У нага