Názory k článku
Certifikační autority budou povinně validovat CAA záznam
-
hugochavez (neregistrovaný)
"Takže když tam budete mít jen Comodo, z LE certifikát nevyrazíte."
No z LE asi ne ale staci zajit za nejakou jinou tzv. "duveryhodnou" autoritou ktera si s dodrzovanim pravidel tolik hlavu nelame a ta ti ten cert vesele vygeneruje ;o)))
Timto zdravim soudruhy od DigiNotar, Symantecu, GoDaddy, WoSign, Comodo, MCS potazmo CNNIC a asi bambilion dalsich :o)))))"Prostě se záznamem určí, kdo může vydávat certifikáty pro danou doménu"
Jo to urcite bude fungovat :o)))
....a ze sem tak smelej, kdo a hlavne JAK zaruci ze se na ten "zaznam" urcite flexibilni CA zvysoka nevys....., tak jako se nekolikrat zvysoka vysra.. na "zavazna pravidla pro vydavani" certs??Obzvlast kdyz postihy jsou vice mene symbolicke...?? ... a evidentne fake-certifikaty se jeste "nechaj dobehnout" aby lidi tolik nervali......??
-
Filip JirsákStříbrný podporovatel„v rámci CA/Browser Fora bylo odhlasováno, že autority musí CAA záznamy povinně validovat a zohledňovat. Změna bude platit od 8. září letošního roku.“
-
MasoxCZ (neregistrovaný)
Hele, naši volení zákonosráči zákonem ustanovili, že vůle chodce trumfuje fyziku, že geodeti jsou "zeměměřicové" (ano, úřad zeměměřičský byl zákonem přejmenován na zeměměřický), předseda Ústavního soudu Rychetský rozhodl, že překlep trumfuje dokumentovanou anamnézu (legalizoval nezákonný převod nemovitosti rozhodnutím, že lze být v terminálním stadiu rakoviny víc než 8 LET, přestože v lékařské kartě bylo dokumentováno necelých 10 týdnů), a rozhodli že ve státní svátek si nesmíš koupit chleba v prodejně o ploše podlahy nad 200m2, přestože hamburgr ze separátu jo.
Takže čemu se proboha divíš? -
Filip JirsákStříbrný podporovatel
Protože ten záznam je určený jenom pro vystavení certifikátu. Když budete chtít změnit autoritu, změníte záznam a požádáte o vydání nového certifikátu – a prohlížeč, který by to validoval, by v tu chvíli začal současný certifikát prohlašovat za neplatný. Pro validaci prohlížečem slouží jiný DNS záznam – TLSA.
-
hugochavez (neregistrovaný)
no unika ti predevsim to ze v PKI o bezpecnost nikdy tolik neslo ;o)
To co navrhujes vychazi totz ze zdraveho selskeho rozumu alias
1) chci na na Root.cz
2) muj browser z DNS zaznamu krome IP kde ma Root hledat zjisti taky jako bonus ze Root jede na https a JEDINEJ KDO MU MUZE NA TO VYDAT CERT je LE.
3) vlezu na Root a browser mi zahlasi ze oproti ocekavani se Root prokazuje jakymsi cancem od Comodo
4) je mi jasne ze budto si muj ISP hraje na MiTM anebo Comodo zase uvaril o par certifikatu vic nez mel....asi aby splnil plan :o)))
( https://nakedsecurity.sophos.com/2011/03/24/fraudulent-certificates-issued-by-comodo-is-it-time-to-rethink-who-we-trust/ )
5) odskrtnu si ve svym browseru ze certum od Comoda do budoucna neverim a nepreji si aby mi "zarucovaly identitu" toho ke komu se pripojuju. (optimum je moznost sam si Comodo vykopnout z lokal CA store coz vyrobci browseru uspesne sabotujou)
6) muj browser to preventivne naprasi jak provozovateli Rootu (v jehoz vlastnim zajmu je udelat co nejvetsi kraval co to Comodo zase vyvadi) + centralnimu mozku lidstva od/do kteryho by si tyhle zjistene malery meli sosat/uploadovat kolektivne vsichni co produkujou browsery.....
Pak by byla realna sance ze soudruzi od Mozilly, Opery atd zvednou konecne prdele a zacnou konat= ze svych browseru postupne vsechny vadne CA zacnou vyhazovat.
Casem se pak dostaneme zpatky na tech 10-11 jako to bylo kdysi a ty uz si daj setsakra pozor aby neslaply vedle :o))))
Pak by celej tenhle podelanej CA cirkus moh' jakztakz zacit fungovat.Druha moznost je placat se v tech srackach dal a vymejslet rovnaky na vohejbaky typu CAA zaznam.
-
lojzak (neregistrovaný)
@hugochavez
Seš blbej nebo navedenej? CAA záznam nemá sloužit pro to, aby klient něco validoval. K tomu slouží DANE, což je standard.
Mícháš do kupy PKI model a jeho implementaci. Ne fakt není chyba v návrhu PKI, že Mozilla a M$ tolerují nedůvěryhodné certifikační autority.
Kreténi jako ty na PKI držkujou, ale nikdo nevymyslel nic lepšího.
-
hugochavez (neregistrovaný)
@Lojzak drza huba
i kdyz se mi vubec ale vubec nelibi jak si me oslovil pro tentokrat ti to prominu protoze te omlouva puberta.Takze- ja samozrejme vim ze neni zamerem aby klient validoval CAA.
To by totiz hrozilo ze na ty prusery CA spousta klientu prijde a toby soudruzi neslo.
Proto budou validovat CAA samy Cert Autority protoze to dava vetsi smysl, tim spis ze mnohe z nich uz jsou tak prohnile ze v CA skladisti v browserech uz davno bejt nemely.....
To je prece logicky- to dava mnohem vetsi smysl.
Tomu musi fandit kazdej Lojzak.Osobne protoze ani zdaleka nedosahuju tve znalostni urovne mi je zahadou CO v soucasnem systemu ma CAA zarucit??? Nic me totiz nenapada.
Rad se ale necham poucit od experta tvyho kalibru."K tomu slouží DANE, což je standard"
Ano masove zavest DANE by urcite byl spravny krok, kdyz uz proc nic jinyho tak proto ze by vsem tem CA podriznul krk.
Nevim ovsem na jakym internetu se pohybujes ty, osobne jsem si nevsim' ze by DANE byl V REALNYM svete STANDARD.
Na papire ovsem urcite."Mícháš do kupy PKI model a jeho implementaci. Ne fakt není chyba v návrhu PKI, že Mozilla a M$ tolerují nedůvěryhodné certifikační autority"
Vy ste s Jirsakem pribuzny? Anebo si spolu privydelavate prodejem tech zarucenych duveryhodnych certifikatu?? :o))))Model PKI kde se v UZ V NAVRHU pocita s tim ze se vsichni budou chovat jako Mirkove Dusinove je nerealisticky a v dnesnim svete nepouzitelny coz ukazuje denodenni praxe. Obzvlast kdyz se v tom celym tocej prachy a vyssi zajmy.
Tak a ted si bez uklidit hracky a nez pudes spat 100x opis do notysku:
"PKI retez je tak silnej jak slabej je jeho nejslabsi clanek"
Pripadne si to napis i na postylku ;o)
Pak ti to mozna sepne.Sweet dreams baby.
-
Filip JirsákStříbrný podporovatel
Osobne protoze ani zdaleka nedosahuju tve znalostni urovne mi je zahadou CO v soucasnem systemu ma CAA zarucit??? Nic me totiz nenapada.
Rad se ale necham poucit od experta tvyho kalibru.
Stačilo by, kdybyste si přečetl komentáře ve vláknu, ve kterém komentujete – vysvětloval jsem to hned v druhém komentáři. Tak ještě jednou speciálně pro vás – pro ověření klientem slouží TLSA záznam. Kdyby CAA záznam ověřoval klient, bude to zbytečná duplicita, a navíc nebudete moci přestat důvěřovat původní certifikační autoritě.Proto budou validovat CAA samy Cert Autority protoze to dava vetsi smysl
Dává to smysl, protože to neduplikuje žádnou stávající funkcionalitu, naopak to přidává nové možnosti. Je to další stupeň kontroly. Vám to bude k ničemu, protože vy očekáváte 100% zabezpečení – ale pro lidi, kteří žijí v reálném světe, to úroveň zabezpečení zvyšuje.Nevim ovsem na jakym internetu se pohybujes ty, osobne jsem si nevsim' ze by DANE byl V REALNYM svete STANDARD.
Vy si myslíte, že kdyby se zavedlo ještě jednou to samé, jako DANE, ale pod jiným jménem, že by to prohlížeče implementovaly? Ne, problém opravdu není ve jménu, problém je vtom, že prohlížeče nechtějí implementovat další DNS dotazy, protože se bojí zpomalení načítání stránek.Model PKI kde se v UZ V NAVRHU pocita s tim ze se vsichni budou chovat jako Mirkove Dusinove je nerealisticky a v dnesnim svete nepouzitelny coz ukazuje denodenni praxe.
Problém je v tom, že nevíte, co je model PKI. Model PKI v návrhu nepočítá s tím, že se všichni budou chovat jako Mirkové Dušínové. Model PKI právě naopak počítá s tím, že si vyberete, kterým certifikačním autoritám a v čem budete důvěřovat.To, že máte spoustu řečí o tom, jak jsou které certifikační autority nedůvěryhodné, ale důvěryhodnost jejich certifikátů si v prohlížeči nevypnete, je váš problém. Ano, vím, pro vás je to moc složité, musel byste pětkrát kliknout.
-
Lol Phirae (neregistrovaný)
Model PKI právě naopak počítá s tím, že si vyberete, kterým certifikačním autoritám a v čem budete důvěřovat. To, že máte spoustu řečí o tom, jak jsou které certifikační autority nedůvěryhodné, ale důvěryhodnost jejich certifikátů si v prohlížeči nevypnete, je váš problém. Ano, vím, pro vás je to moc složité, musel byste pětkrát kliknout.
Ano, vyberu si tak, že si hodím korunou a pak se na ty stránky nedostanu. Notorický blb Jirsák opět nezklamal.
-
hugochavez (neregistrovaný)
@Jirsak
"...Vám to bude k ničemu, protože vy očekáváte 100% zabezpečení..."Veci se maji tak mily Jirsaku ze nejde bejt "jen tak trochu tehotnej" .....
Budto JE neco bezpecny anebo to NENI bezpecny.
"Tak trochu" bezpecny ja neznam."ale pro lidi, kteří žijí v reálném světe, to úroveň zabezpečení zvyšuje."
A ze sem tak smelej CIM??
At na to koukam zleva zprava, pro lidi v realnym svete to nezvysuje vubec nic.
Mozna tak pro lidi z tvyho paralelniho vesmiru."Problém je v tom, že nevíte, co je model PKI..........Model PKI právě naopak počítá s tím, že si vyberete, kterým certifikačním autoritám a v čem budete důvěřovat."
Rekl bych ze (na rozdil od tebe) pomerne presne vim jak model PKI funguje v praxi.
JAKAKOLIV CA bez skrupuli muze vydat cert pro JAKOUKOLIV domenu (snad jen s vyjimkou kombinace Google fake cert+Google Chrome browser kde to Google objevi velmi rychle) aniz by to tvuj browser nejak zjistil, staci kdyz se pak napr. s Widlema projdes nekde po warezech anebo si nainstalujes nejakou cool hru a nezkontrolujes si co se stalo s tvoji hosts file........ a pak se jednoho dne prihlasis do banky, budes tam mit zamecek a celou tu paradu a presto se zacnou dit roztodivny veci...... :o))))Pokud jde o blabol typu
".... že si vyberete, kterým certifikačním autoritám a v čem budete důvěřovat."
rekl bych ze se to tady uz resilo do bezvedomi --> https://www.root.cz/zpravicky/korenovy-certifikat-let-s-encrypt-bude-duveryhodny-ve-firefoxu-50/vlakno/1/ a vysledkem diskuze bylo, ze si uzivatel vybrat NEMUZE.Takze asi tak.
-
KateStříbrný podporovatel"Tak trochu" bezpecny ja neznam.
Všechno je „tak trochu“ bezpečné. Pokud neznáš, můžeš se zvednout a podívat se na zámek jakýchkoliv dveří. Každý má jinou úroveň bezpečnosti, ale dostat se dá přes všechny. Znamená to snad, že nemají smysl?
-
j (neregistrovaný)
2Kate: "že nemají smysl?"
Mno pokud mas na dverich fotku zamku, o ktery prodejce tvrdi, ze je zcela bezpecna (a ty tomu veris) ... co hur, ty tomu ani verit nemusis, protoze ti takovy dvere proste vnutil tvuj najemce a i kdybys je vymenila, tak s pristi revizi dveri ti tam vrati ty s tou fotkou ...
tak to naprosto presne odpovida tomu, jak fungujou CA.
-
KateStříbrný podporovatel
Pokud by to bylo tak špatné jak naznačuješ, každý MITM phishing už by dávno měl důvěryhodný certifikát k podvržené doméně. Vzhledem k tomu že nemá, dá se z toho usuzovat že situace, i když není zdaleka ideální, není ani tak špatná jak se snažíš naznačit.
-
hugochavez (neregistrovaný)
@kate
"...dá se z toho usuzovat že situace, i když není zdaleka ideální, není ani tak špatná .."
to zalezi kdo ma jakej prah bolesti :o))) to, ze o malerech neslysis neznamena ze se nedeji....https://www.youtube.com/watch?v=Z7Wl2FW2TcA#t=5m2s
(koukam ze Comodo ty prusery dela uspesne uz od roku 2011)https://www.youtube.com/watch?v=ibF36Yyeehw
moje oblibeny video aneb jak si nechat vydat cert podle vlastni chuti kazdeho soudruha :o))) -
KateStříbrný podporovatel
A kamarád co se ve volném čase baví lockpicking sadou dovede otevřít FAB zámek za pár vteřin. Což neznamená že vyhodím všechny zámky, většinu zlodějů to odradí. Já vím že se to děje, bezpečnostní maléry kolem toho znám všechny a štve mě, že postihy pro CA byly relativně mírné. Ale i tak… Lepší než drátem do oka :) Nejraději bych byla za funkční ověřování i přes DNSSEC, zatím to je ale bohužel zdá se otázka pudoucnosti.
-
-
Filip JirsákStříbrný podporovatel
Veci se maji tak mily Jirsaku ze nejde bejt "jen tak trochu tehotnej" .....
Budto JE neco bezpecny anebo to NENI bezpecny.
"Tak trochu" bezpecny ja neznam.
Aha. Takže váš počítač, operační systém, webový prohlížeč i připojení k internetu jsou 100% bezpečné. Stejně tak váš dům a vaše auto.Rekl bych ze (na rozdil od tebe) pomerne presne vim jak model PKI funguje v praxi.
Proč tedy předstíráte opak?JAKAKOLIV CA bez skrupuli muze vydat cert pro JAKOUKOLIV domenu (snad jen s vyjimkou kombinace Google fake cert+Google Chrome browser kde to Google objevi velmi rychle) aniz by to tvuj browser nejak zjistil
Já tu mám na disku pár privátních klíčů od certifikačních autorit. Každý si totiž může vyrobit tolik certifikačních autorit, kolik chce. Model PKI není založen na tom, kdo smí vytvořit CA, jak se chybně domníváte, ale je založen na tom, že záleží na koncovém uživateli, kterým CA bude důvěřovat. To, že vám prohlížeč nutí nějaké certifikační autority a vy si je vnutit necháte, není chyba modelu PKI – je to mimo jiné vaše chyba, související s tím, že nevíte, jak model PKI funguje.vysledkem diskuze bylo, ze si uzivatel vybrat NEMUZE
To jste tu diskusi ovšem špatně pochopil. Zrovna ten váš případ, kdy chcete důvěřovat pěti vybraným autoritám, bude fungovat perfektně. -
Lol Phirae (neregistrovaný)
Uživatel si samozřejmě vybere kulový, nemá žádné prostředky, čas ani znalosti k tomu, aby se mohl rozhodnout, obecně jde o úplně nesmyslný požadavek. O tom, jaký certifikát má být správně použit a kým má být vystaven, ví vlastník domény. Ten by nám to sice mohl sdělit pomocí DANE/TLSA, resp. CAA záznamu, ale první jmenované nikdo v prohlížečích neimplementuje, protože by agenti s teplou vodou přišli o byznys, a druhé jmenované pro jistotu uživatelům použít rovnou zakážeme.
Tak takovouhle "bezpečnost" si rač, Jirsáku, narvat do análu i se svejma telecíma radama.
-
Ondřej CaletkaZlatý podporovatelTen by nám to sice mohl sdělit pomocí DANE/TLSA, resp. CAA záznamu, ale první jmenované nikdo v prohlížečích neimplementuje, protože by agenti s teplou vodou přišli o byznys, a druhé jmenované pro jistotu uživatelům použít rovnou zakážeme.
Opravdu si myslíte, že onen zákaz je to zásadní, co brání klientům validaci CAA záznamů implementovat? O kolik si myslíte, že je taková validace odlišná od validace TLSA, kterou mají klienti povolenu?
-
Filip JirsákStříbrný podporovatel
Uživatel si samozřejmě vybere kulový, nemá žádné prostředky, čas ani znalosti k tomu, aby se mohl rozhodnout, obecně jde o úplně nesmyslný požadavek. O tom, jaký certifikát má být správně použit a kým má být vystaven, ví vlastník domény.
To je úplný nesmysl. Asi nechápete, co je to certifikát. Víte, jak by to vypadalo, kdyby o důvěryhodnosti certifikátu rozhodoval ten, kdo ho předkládá, místo ten, kdo mu má věřit?
Třeba v bance:
– „Předložte prosím doklad totožnosti. Můžete si vybrat, jaký chcete, důležité je, že mu důvěřujete vy.“
– „Aha, dobře. Tak tady jsem namaloval obrázek, to je můj doklad totožnosti. Stačí to?“
– „Ale jistě, je na vás, zda tomu dokladu totožnosti důvěřujete.“
Nebo byste po někom požadoval doklad o absolvování vysoké školy:
– „Tady je moje vysvědčení z první třídy. Já to považuji za doklad absolvování vysoké školy. Máte něco proti tomu?“
– „Ale ne, jistě, tvrdíte, že je to doklad o absolvování vysoké školy, tak to tak musím přijmout.“
K čemu by takové certifikáty byly?
Vlastník domény vám může akorát dát možnost, jak ověříte, že komunikuje opravdu s někým, kdo od vlastníka domény nebo registrátora má ke komunikaci pověření. Certifikáty k tomu vůbec nejsou potřeba, stačí veřejný klíč. Kvůli použití stávajících implementací se ten klíč distribuuje spolu s certifikátem, ale ten certifikát je pro ověření domény nezajímavý. Certifikát začne být zajímavý teprve tehdy, když ověřuje něco jiného, než doménové jméno.první jmenované nikdo v prohlížečích neimplementuje, protože by agenti s teplou vodou přišli o byznys
Můžete tohle své tvrzení nějak doložit? Pokud já vím, autoři prohlížečů to nechtějí implementovat proto, že by to zpomalovalo první načtení stránky, a také proto, že je nutná funkční podpora DNSSEC, pokud to má být alespoň stejně bezpečné, jako dnešní DV certifikáty (které moc bezpečné nejsou, takže snížit bezpečnost ještě pod jejich úroveň by bylo dost hloupé).druhé jmenované pro jistotu uživatelům použít rovnou zakážeme
Protože použití koncovým klientem nedává žádný smysl. Pokud klient chce validovat certifikáty přes DNS, má k tomu DANE/TLSA, a neexistuje žádný důvod tuto funkcionalitu duplikovat. Naopak zákaz validace klientem umožňuje CAA záznamy rozumně používat a třeba změnit CA bez výpadků. Samozřejmě vám nic nebrání validovat na klientovi i CAA, ale pak si za problémy tím způsobené můžete sám. -
hugochavez (neregistrovaný)
@jirsak
"Já tu mám na disku pár privátních klíčů od certifikačních autorit. Každý si totiž může vyrobit tolik certifikačních autorit, kolik chce. Model PKI není založen na tom, kdo smí vytvořit CA.."Predne bysme si meli ujasnit 1 vec:
Ja tady nevedu akademickou debatu o tom zda papirovej standard PKI je spatnej nebo dobrej. Ja tu resim jak hodne deravy je pouzivani soucasnyho PKI v praxi.
To aby duo Lojzak&Jirsak vedelo o cem je rec.Obecne proti PKI jako modelu nic nemam, notabene ho sam vyuzivam= na FreeNASu provozuju Emby server kterej streamuje do browseru na internetu videa z dovoleny tomu, kdo ode me dostane login+PW a protoze jsem presvedcenej ze ani ISP ani nikomu jinymu po ceste neni nic do toho co si s kym posilam tak chci aby si zajemce sosnul taky CERT KTEREJ JSEM ALE JA SAM VYGENEROVAL, aby trafik moh jet pres https.
Sedi-li fingerprint neni co resit, cili funkcni PKI v plny parade.
To co predvadej tzv. "duveryhodny" CA ma ale k tomuto hodne daleko."Model PKI není založen na tom, kdo smí vytvořit CA, jak se chybně domníváte, ale je založen na tom, že záleží na koncovém uživateli, kterým CA bude důvěřovat"
super- a ted by me zajimalo jak tohle chces vysvetlit/pozadovat od beznyho BFU !? :o)))
OMG
PS: ja skutecne vim Jirsaku jak PKI model funguje-nemusis mi podsouvat tvoje vlastni domnenky."To, že vám prohlížeč nutí nějaké certifikační autority a vy si je vnutit necháte, není chyba modelu PKI – je to mimo jiné vaše chyba, související s tím, že nevíte, jak model PKI funguje"
super- tak tohle rekni uzivatelum, mily BFU je to cely tvoje chyba protoz ejsi nedokazal vyhodnotit zda CA je duveryhodna ci nikoliv :o))))
OMG
Za sebe muzu rict jediny a budu se opakovat, uz sem to tu psal Xkrat: kdyby bylo po mym vyhazel bych CA vsechny."To jste tu diskusi ovšem špatně pochopil. Zrovna ten váš případ, kdy chcete důvěřovat pěti vybraným autoritám, bude fungovat perfektně."
Kdyz uz me chces citovat, tak to aspon delej poradne =muj vyrok znel: "Casem se pak dostaneme zpatky na tech 10-11 jako to bylo kdysi a ty uz si daj setsakra pozor aby neslaply vedle"
Jinak koukam ze Herr Krcmar uz se na tu nasi debatu tady asi nemoh' koukat tak sepsal novej clanek kde to vysvetlil POLOPATICKY - rekl bych ze je to jak delany pro Jirsaka &spol
https://www.root.cz/clanky/zaznam-caa-sparuje-domenu-a-autoritu-kontrolovan-bude-od-zari/ -
Filip JirsákStříbrný podporovatel
Ja tady nevedu akademickou debatu o tom zda papirovej standard PKI je spatnej nebo dobrej. Ja tu resim jak hodne deravy je pouzivani soucasnyho PKI v praxi.
Aha, takže vy tvrdíte, že diskutujete o používání PKI modelu, ale ve skutečnosti diskutujete o tom, co si umíte a neumíte nastavit ve webovém prohlížeči. To je pak ale těžká debata.Sedi-li fingerprint neni co resit, cili funkcni PKI v plny parade.
Nikoli. To „I“ v PKI znamená „infrastructure“, nebo-li také certifikační autority. Když ověřujete otisk certifikátu, můžete místo toho klidně ověřovat jen veřejný klíč, a k tomu tu infrastrukturu nepotřebujete.ja skutecne vim Jirsaku jak PKI model funguje
Zatím úspěšně předstíráte opak. -
Filip JirsákStříbrný podporovatel
Takže když to určí někdo jiný, je to špatně. Když to určí uživatel, je to taky špatně. Jaké je tedy podle vás řešení?
Jinak já už jsem svou představu o dobrém řešení popisoval. Zrušit nesmyslné DV certifikáty a doménové jméno validovat pomocí TLSA + DNSSEC. Tím bude menší tlak na certifikační autority, aby vydávaly certifikáty pro kde co, a trh se také pročistí. Seznamy důvěryhodných autorit pak nedodávat jako jeden velký balík, ale po menších balíčcích, ze kterých si bude moci uživatel vybrat ty, kterým chce důvěřovat. Takže si vybere třeba jen certifikační autority vydávající certifikáty podle eIDASu. Nebo si nevybere žádný balíček a seznam důvěryhodných certifikačních autorit si bude udržovat sám. -
hugochavez (neregistrovaný)
"muj browser si z dns zaznamu zjisti otisk klice o kterym !!!drzitel domeny!!! prohlasuje, ze je to ten spravnej"
coz by byla defacto variace na CAA ovsem overovanou koncovym uzivatelem, obzvlaste kdyz by se CAA zaznamy +fingerprinty ukladaly do verejne pristupnyho blockchainu. Vsichni by pak mohli kontrolovat vsechny.
A na DNS spoofing uz taky medicina davno je:
https://en.wikipedia.org/wiki/DNSCurve
https://dnscurve.org/[27C3] (en) High-speed high-security cryptography: encrypting and authenticating the whole Internet
https://www.youtube.com/watch?v=ljt1cxUcZMM
vsimnete si z jakyho roku to video je! :o/
