Vlákno názorů k článku Dan Kaminsky a jeho útok na DNS servery od Zdenek - Nejlepsi je mit na brane/routeru svuj vlastni DNS...

Co je zarážejícího na tom, že je potřeba mít řešení, které ochrání všechny a nikoli jen pár "vyvolených"?

Urážky jsou většinou znakem toho, že diskutující straně došly argumenty.

Nehledě na to, že vaše reakce nějak úplně nedává smysl.

Já celou dobu mluvím o tom, že pokud má přijít nějaké řešení, tak to má být řešení, které ochrání všechny. A reagoval jsem na větu, kdy pisatel píše o tom, že to root a tld servery nezatíží, protože si to nastaví jenom pár lidí.

A máte váš názor podložený i nějakými technickými znalostmi nebo jenom opakujete, co jste našel v doporučení CERTu, ale jinak podstatě problému vůbec nerozumíte? Ale oceňuji, že jste konečně zvládl naformulovat, o co vám jde.

Lokální DNS cache vás může ochránit před dvěmi věcmi:

a) útokem na stub resolver, který nemá implementovanou randomizaci DNS portů (viz. ona advisory od CERTu, kterou se oháníte)
b) útokem na vašeho lenivého ISP, který neaktualizoval svoje rDNS (v ČR momentálně nevím o žádných velkých, ale pár malých jsem v querylogu viděl)

Lokální DNS cache je v zásadě jenom řešením, které vám umožní kontrolovat, zda-li máte DNS, který používá náhodné zdrojové porty.

Ale i kdybychom se podívali na to, jestli by se za pomoci lokální DNS cache dala zvýšit ochrana proti Kaminsky-style útokům, tak závěr je, že použití lokální DNS cache není systémovým řešení a problém pouze odsouvá. Aby se útočníkovi nevyplatilo napadnout rDNS, tak by dopad takového útoku musel být velmi malý - jinými slovy museli by na model - co počítač, to rDNS, přejít všichni. Předem upozorňuji, že segmentace na rDNS per organizace nestačí - i útok na nějakou firmu může být dostatečně zajímavý (průmyslová špionáž, atp.). V tu chvíli se ale dostáváme zpátky k první reakci - to by pravděpodobně znamenalo výrazně zvýšenou zátěž na všechny autoritativní DNS servery a speciálně root servery a servery TLD.

Naštěstí se i tady na rootu v diskuzi dají najít lidé, kteří podstatě problému porozuměli, a navrhují věci, které mají hlavu a patu.

Omlouvám se, že se tak blbě ptám ;), ale komu byla tahle poznámka určena?

Já jsem vám předložil argumenty, vy se opět vyjadřujete nikoli k předloženým argumentům, ale k mé osobě a lacině mě pod rouškou anonymity napadáte. Pokud máte pocit, že jsem tak katastroficky selhal, máte možnost předložit své argumenty buď zde, nebo mi poslat email, nebo mi zatelefonovat a vysvětlit mi v čem se mýlím. Do té doby s vámi diskuzi končím.