Vlákno názorů k článku Druhá fáze automatizované správy DNSSEC klíčů od M. - Já vím, že už osvěty na tohle téma...
-
M. (neregistrovaný)
A ne snad? K tomu přeci to slavný https slouží. Zajdu na pobočku mbanky a nechám si nahrát jejich certifikát, pak si ho nainstaluju do prohlížeče po pokud budu důvěřovat tý babě na přepážce, tak bych měl mít jistotu bezpečnýho spojení s tou bankou, nebo ne? Jenom mi právě uniká co navíc přináší zabezpečení DNS. Takhle mi to připadá jako, že se to celý nese na vlně, všechno musí být zabezpečený, tak pojďme zabezpečit i DNS.
-
Ondřej CaletkaZlatý podporovatelNapříklad pokud na doméně provozujete elektronickou poštu, nemáte bez DNSSEC žádnou možnost ověřit, že poštu posíláte zamýšlenému adresátovi.
-
j (neregistrovaný)
To jiste ... MTA vubec neumej (uz par desetileti) pouzivat ssl, a to vcetne pripadnyho overovani klice. Stejne jako (kazdej svepravnej) klient neumi mail zasiforavat, cim jinym nez klidem adresata, takze jestli ho dostane nekdo jinej, tak at si to uzije.
A opet, chtel bych videt MTA, ktery overuje dnssec ....
-
Co se asi tak stane, když se MTA připojí na podvrženou IP adresu a protější strana mu řekne, že žádné TLS nepodporuje?
DNSSEC neověřuje MTA, ale DNS resolver. Klidně to můžou ověřovat všechny DNS resolvery po cestě – knihovní DNS resolver přímo na počítači, kde běží MTA, DNS resolver (a cache) v lokální síti, pokud je provozován, i DNS resolver třeba ISP, pokud ho používá ten DNS resolver v místní síti.
-
Kdyby takhle nějaký MTA fungoval, spoustu e-mailů by nikdy nedoručil. Protože ještě zdaleka neplatí, že by každý MTA měl důvěryhodný certifikát. Možná si to pletete s tím, že MTA může být nakonfigurovaný tak, že pro některé vybrané servery je TLS povinné – akorát že seznam takových MTA bude správce vytvářet ručně, takže tam typicky bude mít jen jednotky nebo maximálně desítky známých a prověřených serverů. Pokud ale nějaký MTA někde vyžaduje TLS, bude to spíš díky tomu, že podporuje DANE a doména má příslušný DNS záznam.
De-Mail je dost speciální případ, rozhodně neplatí vaše premisa, že když něco dělá De-Mail, chovají se tak úplně všechny MTA. Ono například (logicky) není možné ani poslat klasický e-mail na De-Mail.
ČLÁNKY DO MAILU