Vlákno názorů k článku
BIND a Unbound jsou náchylné k otrávení keše pro DNS od Filip Jirsák - Je smutné, kolik energie se musí věnovat dílčím...

To taky nebylo myšleno jako útok na tebe. A s tímhle názorem souhlasím - podepsaná data jsou lepší řešení než doufat, že útočník netrefí náhodný port.

PKI a SSL resp. X.509 k tomuto účelu má Name Constraints:

The name constraints extension, which MUST be used only in a CA
certificate, indicates a name space within which all subject names in
subsequent certificates in a certification path MUST be located.
Restrictions apply to the subject distinguished name and apply to
subject alternative names.

Vím, proto píšu, že technicky to existuje, a už pořádně dlouho.
Přesto, pokud se nepletu/něco se nezměnilo, mi žádná z autorit za alespoň trochu rozumných podmínek coby organizaci stejně CA cert nepodepíše.

Otázka je, zda se těmi Name Constraints vůbec někdo řídí. Pochybuju, že má CA/Browser forum v podmínkách, že to musí prohlížeče validovat. Spoléhající strana tomu rozšíření musí rozumět (je critical), ale řídit se jím ji nikdo nedonutí.

Takže CA vám takový certifikát podepíše za pro ni rozumných podmínek – které zohledňují to, že tím dává do vašich rukou svou pověst a ručí za to, že budete mít vydávání certifikátů zabezpečené stejně dobře, jako ta CA.

DNSSEC vic problemu vyrabi nez resi, a presne z toho duvodu ho nektere tld zavedly ... a nasledne zrusily.

Uz jen trebas takova drobnost... na kolilka tld ze funguje CDS/CDNSKEY?

BTW: TLS pki ani dane nepotrebuje.

DNSSEC vic problemu vyrabi nez resi
No jo, to byste nebyl vy, abyste nepřišel s polemikou bez jakéhokoli konkrétního tvrzení.

presne z toho duvodu ho nektere tld zavedly ... a nasledne zrusily
Které přesně? Myslíte .fi, kde to bylo dočasné, byl to jen (na TLD trochu divný) způsob, jak přejít na jiný algoritmus podpisu?

Uz jen trebas takova drobnost... na kolilka tld ze funguje CDS/CDNSKEY?
Což ovšem není nutná podmínka pro fungování DNSSEC, že?

TLS pki ani dane nepotrebuje.
Jako že byste spojení hned poprvé navazoval s PSK? A ten klíč byste si vyměnil jak?

To ze mr jisrak a danny blaboli o vecech o kterych nic netusi je standarsni situace ...

To se treba takhle u DNS zakazuje XFR(jo ja vim, to je sprosty slovo) ... proc ze asi? Jo aha, aby presne tihle ynteligenti nevycucavali vykon. Mno a tak misto toho nahodime dnssec ... kterej umoznuje totez, jen za 1000x vic vykonu. A to se vyplati.

Dtto mr jisrak samozrejme netusi, ze klice by bylo zahodno obmenovat ... a rucne to nikdo delat nebude. A samozrejme uz vubec netusi, ze pki je o overovani CA a platnosti klicu, coz k navazani sifrovaneho spojeni vubec potreba neni a jako bonus, to stejne vubec nefunguje.

AXFR se zakazuje pro to, aby někdo neznal obsah celé zóny – mohou tam být informace, které nemusí znát úplně každý. Ovšem to není žádné bezpečnostní opatření (pokud se někdo nemá někam dostat, musí tam být firewall nebo autentizace) – je to jen taková drobnost navíc „nezveřejňovat něco, co veřejné být nemusí“. S výkonem to vůbec nijak nesouvisí, protože AXFR klidně můžete implementovat jako přenos statického souboru – nic jednoduššího a méně náročného na výkon už v síťové komunikaci neexistuje.

Pokud někdo opravdu potřebuje tajit obsah zóny, ať si ty neveřejné záznamy oddělí do samostatné zóny, kterou nebude podepisovat, a podepíše aspoň tu veřejnou zónu. Každopádně za mne je řádově větší bezpečnostní problém nepodepsaná zóna než zveřejnění neveřejných záznamů.

Psal jste, že DNSSEC vyrábí víc problémů, než řeší, a popsal jste jeden problém. To by znamenalo, že podle vás DNSSEC neřeší nic. Podle mne řeší to, aby nemohl někdo manipulovat s DNS odpověďmi.

KSK stačí obměňovat jednou za několik let. A obměníte ho jednou v KeySetu za všechny domény ze stejné nadřazené zóny. To opravdu není něco, co by se nedalo udělat ručně. Vždyť donedávna se ručně obměňovaly TLS certifikáty každý rok. A zase platí – radši podepsanou zónu s deset let starým KSK klíčem, než nepodepsanou zónu.

A samozrejme uz vubec netusi, ze pki je o overovani CA a platnosti klicu, coz k navazani sifrovaneho spojeni vubec potreba neni a jako bonus, to stejne vubec nefunguje.
Já už jsem to pochopil. Vy neumíte správně česky. Protože každá vaše věta „samozřejmě vůbec netuší“ uvozuje tvrzení, které je špatně, protože dané problematice nerozumíte. Takže vy tím myslíte, že to netušíte vy, ale nevíte, jak to správně napsat.

PKI znamená „Public Key Infrastructure“ a zahrnuje to celou infrastrukturu kolem zajištění důvěryhodnosti veřejných klíčů, tedy certifikační autority, vydávání a zneplatňování certifikátů, důvěryhodné autority.

Všechny metody navazování TLS spojení s výjimkou PSK vyžadují, aby server zaslal svůj certifikát.

To, že něčemu nerozumíte, neznamená, že to nefunguje.

Mimochodem, bylo by fajn, kdybyste konečně začal dodržovat pravidla zdejších diskusí. To, že něčemu nerozumíte, to se stane (vám hodně často). Urážet kvůli tomu ostatní ale nemusíte. Dokonce i kdybyste měl výjimečně pravdu, není to důvod urážet ostatní.

XFR se nezakazuje ani tak kvuli vykonu, ale kvuli tomu ze neni uplne zadouci, aby neautorizovana treti osoba mela pristup k celemu obsahu zony.

Samozrejme, pokud vas DNS server je nejaka plecka ze srotaku z kategorie i386, pak vase obavy jde pochopit. Ale realne ta zatez je na dnes normalnim HW zanedbatelna.

Viditelne vase kritika DNSSEC stoji a pada s tim, ze neumite pouzivat DNSSEC :-) Nechcete radeji spravu DNS prenechat odbornikum? ;-)