Vlákno názorů k článku Postřehy z bezpečnosti: nový typ DoS útoku na protokoly využívající UDP od Ondřej Surý - No nový… https://gitlab.isc.org/isc-projects/bind9/-/issues/4653#note_447470
-
DannyStříbrný podporovatelAno, i kdyz jde o problem v jadru popsany uz v roce 1996, porad se i v roce 2024 najdou implementace, ktere to osetrene jaksi nemaji. O ty stare (davno nepodporovane) veci zas az tak nejde - ale trpi tim treba i ten zminovany Mikrotik, Honeywell, Broadcom,Brother ci WDS od Microsoftu. A mozna se najde i neco dalsiho.
A to doporuceni tam omezit komunikaci z ephemeral zdrojovych portu v obecne rovine neni az tak od veci. Zminovany
ns_client_dropportje sam o sobe pekny - bohuzel se vyctove omezuje jen na porty 7, 13, 19, 37 a 464. Zbytek to neresi...25. 3. 2024, 08:46 editováno autorem komentáře
-
Zrovna tenhle měsíc jsme to zvažovali šířeji než BIND9:
https://gitlab.nic.cz/knot/knot-resolver/-/merge_requests/1507/diffsRozumné DNS servery prostě smyčku neudělají, na to takové změny potřeba nejsou, ale...
-
DannyStříbrný podporovatel
Je to stara vec. Ale k videni to je v ruznych mutacich pri utocich pravidelne a celkem casto i v dnesni dobe. A reseni, co maji u Knotu mi v tomhle svetle prijde ponekud lepsi nez vycet jen par vybranych portu ala Bind...
-
DannyStříbrný podporovatel
Ja na rozdil od vas ten realny provoz resim, pane kolego. A utoky, v nichz na strane zdrojoveho i ciloveho portu je nejaky ephemeral port zas tak neobvykle nejsou.
