České domény budou bezpečnější s DNSSEC

tohle je totalni hloupost zamerena na bfu aby si to poridili a zbytecne zaplatili za certifikaty.

tohle name s rybarenim a spol nic spolecneho. Podivejte se z kterych adres to chodi a na jakych serverech se rybari.

Ona existuje i nebezpečnější verze rhybaření (nazvaná pharming: http://en.wikipedia.org/wiki/Pharming), kde místo rozesílání mailů, aby si uživatelé "aktualizovali účet" útočník napadne DNS a přesměruje na sebe stránky rovnou, bez vědomí uživatele.

kdyz vyrackujes dns server, tak mas i certifikat k domene, takze je to uz jedno. Pokud ho maji zaheslovany a pri startu serveru zadavaji rucne heslo, coz nema skoro nikdo, tak jeden trojan to jisti, pokud tedy nemaji trusted exec, v tom pripade je potreba si trochu zascriptovat a nemuzeme pouzit jiz hotove vyrobky hacker sceny.

Cely dnssec je o nicem, proto to nikdo nepouziva, normalni certifikaty a TLS pro bezne pouziti staci.

Ja vidim jistou budoucnost v SPF pokud to lidi zacnou pouzivat tak snad to konecne ty spamy trochu snizi. Nejhorsi je ze spam ma vetsi ucinnost nez bannerova reklama (pokud tedy dojde), takze se spamovat ekonomicky vyplati. Vyzkumy uvadeji ze je odfiltrovano tak 80% spamu.

ty jsi ale vůl, ty certifikáty budou uložený na nějakým zabezpečeným jednoúčelovým zařízení a dobře zabezpečený. to že ty jsi neomylný a všechno znáš a víš ještě neznamená že jsou všichni ostatní takový machři. jdi se zahrabat.

Krom toho v pameti musi mit i certifikat i private key rozsifrovanej, takze staci dumpnout proces a najit to tam na coz jsou jiz dnes volne dostupne hackerske tooly, bezne se to tak krade.

Teoreticky by slo nacpat private klic a certifikat do smart karty, ale to by pak melo podobny problem jako karty pro dekodovani satelitu, ktere se obchazeji velmi jednoduchym trikem, asi pred deseti lety jsme je crackovali.

neomylnost nepotrebujete, staci umet chyby rychle rozpoznat.

1) Vykrádání SAT kret už jde dneska hůře, než před 10-ti lety.

2) Na DNS serveru, který posílá podepsaná data, se privátní klíč nevyskytuje (kdo ho tam má, tak je pěkný trotl). Data pro zónu si v klidu podepíšu a vygeneruji dopředu na svém bezpečném místě a pak data obsahující už jen podpisy dám na DNS server.