Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSEC, opennews (??), 31-Янв-24, (0) [смотреть все] А в чем ошибка была, собственно , Аноним (1), 11:33 , 31-Янв-24, (1) –2 // Записи в зоне RU другим ключом подписали, не тем, что указан в записи DNSKEY Он, Аноним (9), 11:44 , 31-Янв-24, (9) +15 // А почему давно не запилили, DNS разве не на СПО зиждится , Аноним (28), 11:58 , 31-Янв-24, (28) –8 // Причем тут СПО и зачем что-то пилить Косплеить корневой сервер можно хоть на MS , Ананий (?), 13:10 , 31-Янв-24, (77) +2 Похоже, у них там свой набор верхних корневых днс-серверов Его ключом и подписа, Аноним (36), 12:15 , 31-Янв-24, (36) –5 // Скрыто модератором, Бывалый смузихлёб (?), 12:28 , 31-Янв-24, (42) +7 Скрыто модератором, Аноним (51), 12:39 , 31-Янв-24, (51) +1 А какой смысл использовать разные ключи , Аноним (37), 12:15 , 31-Янв-24, (37) НСДИ они тоже положили Но поскольку это кого надо НСДИ, там быстренько почистил, нах. (?), 12:44 , 31-Янв-24, (52) +2 // Наверное больше потому, что от НСДИ почти никто из потребительского сегмента пок, Аноним (54), 12:49 , 31-Янв-24, (54) +1 Еще как уже зависят Просто тебе об этом не доложат Просто поскольку он сам себе, нах. (?), 12:52 , 31-Янв-24, (55) +2 Докладываю ни один провайдер долго не проработает, если его днс-серверы не буду, San (??), 13:24 , 31-Янв-24, (85) +1 А чего тут тогда все у всех навернулось Они ж там всепачинили через пять минут , нах. (?), 13:27 , 31-Янв-24, (86) +1 Есть разные схемы подключения к НСДИ , Ivan_83 (ok), 14:38 , 31-Янв-24, (122) Быстренько Да он минут 20 косплеил под всех отвечая на всё SRVFAIL А потом там, Аноним (154), 15:08 , 31-Янв-24, (154) +3 может железке по середке не установили новый ключ , Sw00p aka Jerom (?), 15:08 , 31-Янв-24, (153) Здесь все намного проще Перед выборами шaтaют не только интернет, но и сотовую , Bonjovi (?), 12:20 , 31-Янв-24, (39) –6 // 4ебурнет на завершающей стадии, Аноним (215), 21:14 , 31-Янв-24, (215) –5 ЯПОЭЗ https sockpuppet org blog 2015 01 15 against-dnssec , Аноним (2), 11:34 , 31-Янв-24, (2) +1 // 1DNSSec для конечных потребителей устарел с тех пор как гугл всех на https натя, Ivan_83 (ok), 12:53 , 31-Янв-24, (57) –1 // DNSSec - это защита от недобросовестности Гугла, не , Аноним (63), 12:56 , 31-Янв-24, (63) –3 // Нет Это когда то ходили байки что можно отравить кеш резолвера посылая ему посто, Ivan_83 (ok), 13:08 , 31-Янв-24, (75) +2 да он и раньше-то нахрен был не нужен Очередная диверсия от профессоров далеких, нах. (?), 13:30 , 31-Янв-24, (88) –1 // Я не дебажил Перезапустил пару раз unbound ради интереса, надеялся что отвалится, Ivan_83 (ok), 13:37 , 31-Янв-24, (94) +1 а там на диске нет кэша gtld там вопрос в том чтоб тебе glue records отдал - , нах. (?), 14:48 , 31-Янв-24, (136) На диске вроде никаких кешей нет, только рутовые сервера и может их ключи DNSSec, Ivan_83 (ok), 15:21 , 31-Янв-24, (159) Ну да выходит валидатор выключил и не увидел возможной подмены днс, в то время к, fuggy (ok), 19:28 , 31-Янв-24, (202) +1 Покажите мне успешные атаки на отравление кеша, тогда будет иметь смысл продолжа, Ivan_83 (ok), 19:57 , 31-Янв-24, (208) Твоя безопасность - это твое дело Никто не должен тебе ничего доказывать , Sem (??), 18:40 , 01-Фев-24, (244) Ну не скажите Допустим у Вас очень большое количество пользователей ведут перепи, suffix (ok), 16:55 , 01-Фев-24, (243) +1 // Бывает Не бывает У всех пользователей уже стоит Outlook, в котором шифрование е, Аноним (255), 20:06 , 01-Фев-24, (255) Свидетельство канарейки Да уж можно и не включать Наверняка ещё пару эксперимен, Карлос Сношайтилис (ok), 11:38 , 31-Янв-24, (3) // И по http ходить на всякий случай Вдруг он тоже сломается , keydon (ok), 11:58 , 31-Янв-24, (27) // Через http Ростелеком незаконно наталкивает в чужие сайты свою рекламу, а пользо, rvs2016 (ok), 12:08 , 31-Янв-24, (35) +1 // По http вроде бы как можно было заблокировать конкретную страницу, на которой и , Бывалый смузихлёб (?), 12:24 , 31-Янв-24, (41) Да Можно заблокировать только одну страницу И РКН в своём требовании к провайд, rvs2016 (ok), 12:30 , 31-Янв-24, (43) +1 Они порой ничего не пишут - страница тупо не открывается, падая по превышению вр, Бывалый смузихлёб (?), 13:36 , 31-Янв-24, (92) Лол, таким еще кто-то занимается Помню пяток лет назад этим сначала стали промыш, Ананий (?), 13:16 , 31-Янв-24, (80) Ага Занимаются да притом ещё как После того, как мы наши сайты на https переклю, rvs2016 (ok), 13:39 , 31-Янв-24, (96) +1 Можете точнее написать в каких RSS остаются ссылки на http Я вроде очень давно , Maxim Chirkov (ok), 14:04 , 31-Янв-24, (107) http www opennet ru openforum forum_vsluhforumID4 rsshttps www opennet ru op, rvs2016 (ok), 14:20 , 31-Янв-24, (112) Поправил, теперь там только https , Maxim Chirkov (ok), 16:54 , 31-Янв-24, (170) У меня так opennet в закладках оставался как http После переустановки ос сначал, Аноним (114), 14:22 , 31-Янв-24, (114) На http сайт сейчас еще постараться надо, чтобы зайти Все хромо-клоны верещат к, Анонимщик (?), 10:45 , 03-Фев-24, (280) Как постоянный пользователь Мегафона подтверждаю, тоже регулярно вставляет рекла, Аноним (222), 22:27 , 31-Янв-24, (222) +1 У меня мой сайт только по http, https есть но там самоподписной сертификат Нет с, Ivan_83 (ok), 12:55 , 31-Янв-24, (61) –3 // У тебя уже ж есть не легший под американцев аналоговнеимеющей браузер который н, нах. (?), 13:35 , 31-Янв-24, (91) Подключён, и иногда на него даже кто то попадает Но в целом там странное и мал, Ivan_83 (ok), 13:38 , 31-Янв-24, (95) ну так с тем же успехом мог бы и вообще его выключить, надежно, безопастно, днс , нах. (?), 14:41 , 31-Янв-24, (125) Я тоже чтобы поделится В своё время послал хубр и перетащил всё к себе Но это ве, Ivan_83 (ok), 15:11 , 31-Янв-24, (156) Ну когда пользователям на http-сайте пишешь про то, что, дескать, тоарищи, помой, rvs2016 (ok), 13:45 , 31-Янв-24, (97) +1 У меня нет такой проблемы, а проблемы абонентом ростелекома меня не волнуют, впр, Ivan_83 (ok), 14:40 , 31-Янв-24, (124) +1 Какие заголовки надо с веб-сервера отправить вместе со страницей в браузер польз, rvs2016 (ok), 18:23 , 31-Янв-24, (184) Читайте про Content-Security-Policy заголовок , Ivan_83 (ok), 19:05 , 31-Янв-24, (191) Почитал Заголовок-то интересный Но узел, через который от веб-сервера к веб-брау, rvs2016 (ok), 19:20 , 31-Янв-24, (199) кстати, когда я увидел таки единственный раз правда не ростелек а мегафон на л, нах. (?), 14:43 , 31-Янв-24, (128) Надуюсь подробный публичный отчет будет по инциденту Не очень красиво получилос, Аноним (4), 11:40 , 31-Янв-24, (4) +4 // Надуюсь, если не будет, а так надеюсь , Аноним (4), 11:41 , 31-Янв-24, (6) +6 Он будет, но вам его не покажут Если вы не с той стороны социума, конечно, 12yoexpert (ok), 11:59 , 31-Янв-24, (29) +6 // На днях кажись, в минувшую пятницу Ночь-раннее утро примерно так же отвалили, Бывалый смузихлёб (?), 12:33 , 31-Янв-24, (47) –4 // не падения сети нужно двигать, а , 12yoexpert (ok), 13:04 , 31-Янв-24, (71) да, у товарищмайора-то на столе лежит, учения по мягкому принуждению на переключ, нах. (?), 14:44 , 31-Янв-24, (131) Это должен быть не отчет, а процесс Ибо - повреждение критической инфраструктур, Аноним (46), 12:33 , 31-Янв-24, (46) +2 // Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..., Аноним (233), 05:19 , 01-Фев-24, (233) +2 Ждем пополнения списка https ianix com pub dnssec-outages html, Аноним (1), 11:41 , 31-Янв-24, (5) +3 // Фигасебе списочек там В какую интересно номинацию попадет Мне очень зашла Long, Аноним (4), 11:48 , 31-Янв-24, (14) Вчера половина рунета отвалилась, да Затронуло в основном пользователей DoH, ос, Аноним (7), 11:42 , 31-Янв-24, (7) –4 // Максимум увидишь SEC_ERROR_UNKNOWN_ISSUER , Пряник (?), 11:53 , 31-Янв-24, (20) –1 // Страшно-страшно, браузер отказался открывать , Аноним (7), 11:56 , 31-Янв-24, (23) Отключил временно DNSSEC на домашнем сервере, всё заработало , Random (??), 12:23 , 31-Янв-24, (40) –1 Потому что DoH DoT и публичные 8 8 8 8 и пр аналоги держат те же дятлы которые н, Ivan_83 (ok), 12:58 , 31-Янв-24, (64) –5 // Ну вот год назад вроде мега отвалилась, сейчас какие-то бесполезные сайты в руне, Аноним (7), 13:09 , 31-Янв-24, (76) // А зачем его включать когда большая часть трафика под TLS , Ivan_83 (ok), 13:22 , 31-Янв-24, (84) –1 Чтобы не подменяли сайты на подконтрольные Толку от tls, когда сертификаты част, Аноним (7), 13:36 , 31-Янв-24, (93) Вы поддразумеваете что надо проделать огромную работу по отравлению кеша и выпус, Ivan_83 (ok), 13:47 , 31-Янв-24, (99) Ты ещё скажи митм никому не интересен, а последние 10 лет нам всем приснились В, Аноним (7), 13:51 , 31-Янв-24, (104) +1 Так покажите где на MiTM кто то поднялся, я видел всё от госов, а у них для этог, Ivan_83 (ok), 14:46 , 31-Янв-24, (135) +1 пойсон атаки подразумевают некого внешнего злыдня, а если злыдень - это провайде, Ананий (?), 14:32 , 31-Янв-24, (117) –1 Я зато занимался исплементацией DNS протокола и собственного рекурсера с кешем , Ivan_83 (ok), 14:49 , 31-Янв-24, (137) И какие защиты от спуффинга вы в вашем рекурсере применяли Расскажите, раз вы т, Sem (??), 18:48 , 01-Фев-24, (245) Как хорошо что есть личный локальный ресолвер Причём тут DoH Зависит от операто, fuggy (ok), 18:53 , 31-Янв-24, (188) // Четыре восьмёрки первыми начали подменять трафик в своё время, осадочек остался , Аноним (7), 19:06 , 31-Янв-24, (192) // Да-да, и проблема сто процентов в Гугле, а не в твоём провайдере, который 8 8 8 , Аноним (255), 19:39 , 31-Янв-24, (205) +1 О чём и речь А что смешного тебе Думаешь, в твоей стране такого не случится М, Аноним (7), 19:50 , 31-Янв-24, (206) –1 В моей стране принято соблюдать законы, регулятор не имеет доступа к инфраструкт, Аноним (255), 21:23 , 31-Янв-24, (216) Даже если так, времени жить в мире розовых пони у тебя буквально до следующей ло, Аноним (7), 00:47 , 01-Фев-24, (227) –1 Так то есть маленькие страны, где ты даже если инет отключишь то мобила просто ч, Ivan_83 (ok), 06:54 , 01-Фев-24, (236) Понимаю, что для мордорцев это мир розовых пони Только вот я в этом мире розовы, Аноним (255), 20:04 , 01-Фев-24, (254) –1 Времена меняются, да То, что законодательства да и сфера айти в целом отдельн, Аноним (7), 20:31 , 01-Фев-24, (258) Компания существует с 1964 года, оказывает телекоммуникационные услуги с 1995, к, Аноним (255), 21:28 , 01-Фев-24, (259) Ты всё правильно понял, крупнейший провайдер это карманный провайдер, других вар, Аноним (7), 21:40 , 01-Фев-24, (260) Кто вообще управляет DNS ами , Аноним (8), 11:42 , 31-Янв-24, (8) // РОСНИИРОС КИАЭ, Аноним (2), 11:44 , 31-Янв-24, (10) // Это прям ну ооочень устаревшая информация , Sem (??), 18:50 , 01-Фев-24, (246) whois ru, OpenEcho (?), 11:57 , 31-Янв-24, (25) ЦМУ ССОП же, что за вопросы, Аноним (114), 14:36 , 31-Янв-24, (119) Еще один повод перейти на зону Onion , Аноним (11), 11:47 , 31-Янв-24, (11) –2 // Там домены слишком сложные, еще вопрос что будет проще запомнить домен onion ил, Аноним (4), 11:52 , 31-Янв-24, (18) +3 // Ты же на сайты, которые посещаешь, не вручную домены набираешь, а по закладкам, , Аноним (28), 11:55 , 31-Янв-24, (22) // 50 на 50, если домен знаю наизусть то могу себе позволить нажать ctrl T и начать, Аноним (4), 12:01 , 31-Янв-24, (30) +2 а я чёт закладками никогда не пользовался, в ff по ним абсолютно неюзабельный по, 12yoexpert (ok), 12:06 , 31-Янв-24, (32) –1 в начале строки и ищет по букмаркам Еще есть неплохая фишка с keywords, можно, Аноним (83), 13:20 , 31-Янв-24, (83) прикольно, спс я в панельке по ctrl b пытался искать, 12yoexpert (ok), 13:31 , 31-Янв-24, (90) –1 Вручную По закладкам ходить долго и неудобно Их, конечно, для удобства могут в, rvs2016 (ok), 12:16 , 31-Янв-24, (38) +1 Смысл закладок в том, что в поиске в адресной строке они вылезают даже при очище, Аноним (44), 12:32 , 31-Янв-24, (44) Скрыто модератором, Аноним (255), 18:22 , 31-Янв-24, (183) Скрыто модератором, rvs2016 (ok), 22:55 , 31-Янв-24, (224) Закладки ещё нужно чтобы вместо легального сайта не переходить на какой-нибудь , fuggy (ok), 19:55 , 31-Янв-24, (207) главное даже не запомнить а найти в принципе - и быть хоть как-то уверенным что , нах. (?), 13:04 , 31-Янв-24, (70) +1 Там был какой-то преобразователь aw34awfsdfa3rsdfasdf23r3q4rwedzfdsr3rqwefd onio, Аноним (2), 16:47 , 31-Янв-24, (169) gemini ещё есть Ещё в i2p неплохая идея, но нет клиентов один на джаве, второй, 12yoexpert (ok), 11:57 , 31-Янв-24, (26) // Gemini не работают без доменных имён, а следовательно и какого-нибудь DNS, что о, Аноним (34), 12:08 , 31-Янв-24, (34) // gns от gnu, 12yoexpert (ok), 13:02 , 31-Янв-24, (68) –1 Скрыто модератором, Аноним (-), 16:32 , 31-Янв-24, (167) А зачем вообще менять ключ на аналогичный но параметрам, а не, например, постква, Аноним (28), 11:47 , 31-Янв-24, (12) –5 // Время жизни ключа ограничена, поэтому регулярно выполняют ротацию ключей , Аноним (9), 11:50 , 31-Янв-24, (16) +4 // Он спросил зачем, а не почему Ключи меняются на случай утечки, так менее реальн, Аноним (7), 11:54 , 31-Янв-24, (21) // Раз в три месяца планово заменяются ключи, типа защита на случай если ключ скомп, Аноним (9), 12:05 , 31-Янв-24, (31) мысль о том что система автозамены ключей и есть наиболее вероятная точка компро, нах. (?), 12:58 , 31-Янв-24, (65) –3 Случаи подмены ключей палятся очень быстро через сверку ключей полученных их раз, Аноним (130), 14:44 , 31-Янв-24, (130) так они будут - одинаковые Никакой другой подмены в принципе быть не может Уров, нах. (?), 14:45 , 31-Янв-24, (133) Не будут Допустим утёк ключ зоны и новый владелец рассылает информацию, что, Аноним (130), 14:50 , 31-Янв-24, (139) и Ключ у тебя - уже утек Все ключи правильно подписаны и переподписаны ничем ем, нах. (?), 14:56 , 31-Янв-24, (143) Только вот помимо липового ключа нужно иметь доступ к каждому корневому серверу , Аноним (130), 15:02 , 31-Янв-24, (147) Если ключи одинаковые, то где подмена Я вам ключ подменил на тот же самый , Sem (??), 18:55 , 01-Фев-24, (247) DNSSec ни от чего, тем более массового не защищает, не нужно сочинять , Ivan_83 (ok), 15:13 , 31-Янв-24, (157) –1 DNSSEC защищает от подделки DNS-записей Конечно от полноценного MITM он не спас, Аноним (130), 17:59 , 31-Янв-24, (176) Вы для начала в реальной жизни попробуйте отравить кеш резолвера, потом будете р, Ivan_83 (ok), 19:08 , 31-Янв-24, (194) +1 https www iana org dnssec ceremonies, Sw00p aka Jerom (?), 03:22 , 01-Фев-24, (231) Небось ключи в зип архиве случайные люди шлют по электронке, а потом какой-нибуд, Аноним (48), 12:33 , 31-Янв-24, (48) –3 // я тебя расстрою, наверное, но процедуры отката в dns - нет Вообще И любая ошиб, нах. (?), 12:47 , 31-Янв-24, (53) +3 // На подконтрольной инфраструктуре откат должен происходить мгновенно Некорректна, Аноним (48), 17:09 , 31-Янв-24, (172) // А оно дойдёт по электронке-то Она давно завязана на DNS Или у вас uucp , 1 (??), 17:48 , 31-Янв-24, (173) +1 дойдет, у нормальных-то домены в net, только вот - noc какого-нибудь tele2 ни, нах. (?), 18:40 , 31-Янв-24, (186) Скрыто модератором, нах. (?), 18:37 , 31-Янв-24, (185) +1 Скрыто модератором, Аноним (48), 01:00 , 01-Фев-24, (228) Скрыто модератором, n00by (ok), 09:07 , 01-Фев-24, (238) Ну тебе на твоей впс и правда не нужна никакая атоматизация, быстрее руками DNSS, Аноним (255), 18:20 , 31-Янв-24, (182) Хорошо Вы о них думаете В rar архиве , nox. (?), 14:36 , 31-Янв-24, (120) +1 Вопрос не совсем в тему В связи с блоком wg openvpn кто-нибудь проверял, по ipv, чатжпт (?), 12:52 , 31-Янв-24, (56) Но виновных как всегда нет и наказывать никого не будут , Этофиаско (?), 12:55 , 31-Янв-24, (60) +3 // Да, было бы неплохо возродить публичные порки на Красной Площади, Секретный (?), 13:49 , 31-Янв-24, (101) –2 // А почему вы решили, что за это не накажут вас , Аноним (162), 15:41 , 31-Янв-24, (162) +5 Может ли это быть связано с массовыми просьбами заблокировать Ютуб Неужели чебу, Аноним (-), 12:55 , 31-Янв-24, (62) // А заблочили рутуб Даже для больных это перебор , Ivan_83 (ok), 13:00 , 31-Янв-24, (67) +1 Логику по тиктоку не преподают, но можно прояснить - как связанны проблемы с зон, Ананий (?), 14:16 , 31-Янв-24, (110) –4 // Такой воображаемый, что половина сайтов без VPN уже давно не открывается Да и, Макдональдс (?), 14:20 , 31-Янв-24, (111) +5 Тут, скорее, тестировалось отключение зоны ру от макдакнета , Тот_Самый_Анонимус_ (?), 19:14 , 31-Янв-24, (197) –1 Вообще не заметил никаких сбоев Узнал о них лишь из новостей , Neon (??), 13:05 , 31-Янв-24, (72) –1 // Вам повезло, ваш DNS сервер выполняющий рекурсию был с отключённым DNSsec , Ivan_83 (ok), 13:11 , 31-Янв-24, (79) –1 // У меня все такие , 1 (??), 17:52 , 31-Янв-24, (175) Аналогично , nox. (?), 14:37 , 31-Янв-24, (121) Я вечером тоже сидел с выключеным инетом Вообще не заметил работает ли он, Аноним (221), 22:26 , 31-Янв-24, (221) На самом деле сбои были, но куда менее сильные чем писал народ Ну да, кое что у, Kuromi (ok), 03:35 , 02-Фев-24, (270) Не знал, что в москве есть технический центр всего интернетаcontact techni, Всем Анонимам Аноним (?), 13:20 , 31-Янв-24, (81) –1 // Если бы всего интернета он бы назывался Technical Center of the Internet само со, fuggy (ok), 20:11 , 31-Янв-24, (210) +3 А я вчера ловил лулзы с беспомощных ИТ специалистов как на хубре так и у провайд, Ivan_83 (ok), 13:20 , 31-Янв-24, (82) –3 // Ну ты нашёл где помощи искать - на околотехническом хабре Там только поливать г, _oleg_ (ok), 13:30 , 31-Янв-24, (89) –3 // Мне помощь не нужна, у меня на unbound домашнем DNSSec всегда выключен и проблем, Ivan_83 (ok), 13:49 , 31-Янв-24, (102) // Зачем вам вообще интернет Идите в пещеру , Sem (??), 18:58 , 01-Фев-24, (248) И вполне логично, что они не сильно разобрались Ха, ты так пишешь, как-будто куч, Аноним (-), 13:56 , 31-Янв-24, (105) –1 // При чём тут именно dns Там разве не всё обсирают, что не сделано иммигрантами н, _oleg_ (ok), 14:04 , 31-Янв-24, (108) А что, не за дело обсирают Последнее, что было сделано так, что не стыдно показа, Аноним (2), 12:15 , 01-Фев-24, (239) Скрыто модератором, _oleg_ (ok), 12:22 , 01-Фев-24, (240) Скрыто модератором, arthi747 (ok), 18:19 , 31-Янв-24, (181) +2 Скрыто модератором, penetrator (?), 21:06 , 31-Янв-24, (214) Достаточно было в логи залезть, чтобы понять, что косяк в DNSSEC И да, я юзаю D, timur.davletshin (ok), 13:47 , 31-Янв-24, (100) +2 // Даже не нужно в логи лезть Пару dig, что бы понять, что это глобально сломалось, Sem (??), 19:00 , 01-Фев-24, (249) Не смешно Там вообще хоть одна буква ценной информации бывает , nox. (?), 14:38 , 31-Янв-24, (123) +1 В официальной инструкции есть способ отключения dnssec как удаление пути до файл, fuggy (ok), 20:15 , 31-Янв-24, (211) Мы у себя проблему в 19 17 увидели, а в 19 40 уже вырубили нахер dnssec , _oleg_ (ok), 13:28 , 31-Янв-24, (87) +1 // Аха, вот такие, когда видят ошибку сертификата, тоже клацают Игнорировать , timur.davletshin (ok), 13:46 , 31-Янв-24, (98) +2 // Я клацаю игнорить, потому что на 99 сайтах которые я посещаю TLS не нужен, я та, Ivan_83 (ok), 13:51 , 31-Янв-24, (103) +1 // А потом, в тот момент, когда не нужно что-то делать, ты задним числом понимаешь,, timur.davletshin (ok), 14:43 , 31-Янв-24, (127) Не нужно проецировать свои проблемы на других Я смотрю на сертификат только для , Ivan_83 (ok), 14:54 , 31-Янв-24, (142) +1 Видал я таких умных, которые отправляли на автомате несколько миллионов в утиль,, timur.davletshin (ok), 19:22 , 31-Янв-24, (200) +1 Ему DNSSEC не нужен, TLS не нужен Зачем он вообще сюда зашел, не ясно , Sem (??), 19:02 , 01-Фев-24, (250) Не знаю чем надо заниматься, чтобы часто видеть эти ошибки Мне может раз в меся, Самый умный из вас (?), 14:59 , 31-Янв-24, (145) Какие такие, чудо Какой большой смысл от dnssec у провайдера имеется ввиду, не, _oleg_ (ok), 14:02 , 31-Янв-24, (106) –1 // Увы, таких помойных провайдеров полно А DoH как раз и существует в том числе из, Аноним (7), 14:13 , 31-Янв-24, (109) +1 А doh тебе зачем, болезный , _oleg_ (ok), 14:21 , 31-Янв-24, (113) –1 Для исключения человеческого фактора у провайдера, говорю же По факту лишняя ра, Аноним (7), 14:27 , 31-Янв-24, (115) +1 Блин, как тяжело с такими Ты на вопрос не ответил Перечитай, не в падлу , _oleg_ (ok), 14:34 , 31-Янв-24, (118) –1 А что тебе перечитать, если ты не осознаёшь, что защищать от провайдера до клиен, Аноним (7), 14:42 , 31-Янв-24, (126) +1 Ты с больной на здоровую голову не перекладывай Что ты собрался защищать и поче, _oleg_ (ok), 14:52 , 31-Янв-24, (140) Ты не понял, DoT DoH так же держат DNSSec включённым и точно так же вчера всех с, Ivan_83 (ok), 15:03 , 31-Янв-24, (149) Квадовский 9 9 9 10 без dnssec, Аноним (232), 03:52 , 01-Фев-24, (232) Unsecured No Malware blocking, no DNSSEC validation for experts only , Sw00p aka Jerom (?), 03:49 , 02-Фев-24, (271) Note We do not recommend mixing the secure and unsecured IP addresses in the sa, Sw00p aka Jerom (?), 03:51 , 02-Фев-24, (272) То есть ты просто доверяешь человеческому фактору другого провайдера , fuggy (ok), 20:33 , 31-Янв-24, (212) Я доверяю тому, что dnssec не будет отключен Особенно, когда в конфиге доверие , Аноним (7), 20:42 , 31-Янв-24, (213) Ну и сидите без доступа к сайтам при каждом чихе , Ivan_83 (ok), 21:27 , 31-Янв-24, (217) –1 Во-первых, не при каждом Большинство операторов всё же умеет пользоваться DNSSE, Аноним (255), 20:16 , 01-Фев-24, (256) DoH не исключает необходимости проверять DNSSEC Вообще никак , timur.davletshin (ok), 14:44 , 31-Янв-24, (129) –1 DoH действует в обход провайдера с некомпетентными сотрудниками Естественно, не, Аноним (7), 14:49 , 31-Янв-24, (138) –1 Вообще то исключает, за тебя это делает владелец DoT DoH сервиса , Ivan_83 (ok), 15:04 , 31-Янв-24, (151) –1 Не придумывай Нигде об этом в протоколе не говорится Раз уж DoT упомянул, то т, timur.davletshin (ok), 16:30 , 31-Янв-24, (166) Нет DoH DoT это желание гугла анб залезть в штаны хомякам против их воли, под пр, Ivan_83 (ok), 15:01 , 31-Янв-24, (146) –1 DoH вполне может быть и подконтрольным К примеру, тот же dnscrypt гарантирует, , Аноним (7), 15:35 , 31-Янв-24, (161) Чушь dnscrypt как и DoT DoH гарантируют ровно тоже что и TLS в ваш днс трафик н, Ivan_83 (ok), 16:06 , 31-Янв-24, (163) –2 Всё же, это уже не те случаи, которые стоит рассматривать Но на уровне днс впол, Аноним (7), 18:01 , 31-Янв-24, (177) Я вам по секрету скажу - рекурсер с кешем можно дома даже держать У меня оно д, Ivan_83 (ok), 19:13 , 31-Янв-24, (196) С терминологией разберись сперва Вот такие, которые даже терминологии не освоили, timur.davletshin (ok), 14:46 , 31-Янв-24, (134) +1 А что тебя смущает Какие такие , _oleg_ (ok), 14:53 , 31-Янв-24, (141) Клиентам DNSSec не нужен, да и провайдерский сервер его может разве что ретрансл, Ivan_83 (ok), 14:57 , 31-Янв-24, (144) Так и делают Давно уже не помню, что бы магистралы dns давали, но и когда давал, _oleg_ (ok), 15:04 , 31-Янв-24, (150) –1 На наге одмины провайдеров тоже не могут объяснить зачем им DNSSec нужен, в книж, Ivan_83 (ok), 15:06 , 31-Янв-24, (152) +1 Давно там не был - Но на наге так-то школьников разы меньше, чем здесь Так ч, _oleg_ (ok), 15:11 , 31-Янв-24, (155) Перечислишь админов и провайдеров по именам или ты это 171 чисто по ощущениям , Аноним (255), 18:08 , 31-Янв-24, (180) Сам у них спрашивайте https forum nag ru index php topic 129992-xyz-upal pag, Ivan_83 (ok), 19:14 , 31-Янв-24, (198) А кто же это сделал , Аноним (132), 14:44 , 31-Янв-24, (132) +1 // ессественно новенький админ, которого не курсанули, что при смене ключей необход, Sw00p aka Jerom (?), 16:35 , 31-Янв-24, (168) –1 // Если бы новенький админ, то не выпускали бы отчет со смыслом это не мы такие, э, Sem (??), 19:04 , 01-Фев-24, (251) // https cctld ru media news kc 35566 , Sem (??), 19:06 , 01-Фев-24, (252) Возникшая коллизия ключей, в причинах которой в настоящее время продолжают ра, Sw00p aka Jerom (?), 22:13 , 01-Фев-24, (261) Коллизия - это, например, когда хеши от разных данных совпали Тут требуется ква, n00by (ok), 07:56 , 02-Фев-24, (273) - Почему у тебя нос сломан - Потому-что он столкнулся коллизия с чужим кулаком, Sw00p aka Jerom (?), 09:23 , 02-Фев-24, (274) Допускаем, сгенерировали 1024 битный ZSK ключ rsa, его хеш sha256 ибо algo_id 8, Sw00p aka Jerom (?), 09:48 , 02-Фев-24, (275) Тут задача из разряда кто даст правильный ответ - тот получит 10 лет , n00by (ok), 13:00 , 02-Фев-24, (277) ага, кто купит билетов пачку XDОбратим внимание на данное утверждение ч, Sw00p aka Jerom (?), 16:00 , 02-Фев-24, (278) для истории Из письма ТЦИ следует, что сбой длился 30 января с 18 28 до 21 00 , Sw00p aka Jerom (?), 14:43 , 08-Фев-24, (281) и прикол в том, что они на протяжении нескольких часов не вкуривали почему сигна, Sw00p aka Jerom (?), 16:59 , 31-Янв-24, (171) +3 // я подозреваю в их офисе резко отвалился интернет, 4ge тоже пошло по п-де кто не, нах. (?), 19:08 , 31-Янв-24, (193) +1 // лол, кек у меня opennet ru не открывался, вот и заметил а байки про то, что н, Sw00p aka Jerom (?), 22:25 , 31-Янв-24, (220) Или их хакнули или они в очередной раз попробовали пропихнуть свои интернет по п, Аноним (160), 15:24 , 31-Янв-24, (160) –2 Еще Воланд говорил Канту за завтраком про DNSSEC 171 Вы, профессор, воля ваша, Аноним (164), 16:12 , 31-Янв-24, (164) В очередной раз убедились, что DNSSEC отлично работает И в том, что людей поним, Аноним (255), 18:06 , 31-Янв-24, (178) +4 // Зачем нужен ремень безопасности когда ты находишься в жидкой среде близкой по пл, Ivan_83 (ok), 19:24 , 31-Янв-24, (201)   // 171 Фонаты 187 действительно много чего не могут Попробуй спросить знающих , Аноним (255), 19:32 , 31-Янв-24, (204)   // Те не вас Покажите примеры успешных атак, потому что я читал только про лаборат, Ivan_83 (ok), 20:04 , 31-Янв-24, (209)   Как скажешь Я тебе покажу, а ты скажешь, что я 171 фонат 187 и придумаешь, п, Аноним (255), 21:29 , 31-Янв-24, (218)   кек, а че это много разве одновременно досишь неймсервер, который должен присла, Sw00p aka Jerom (?), 00:15 , 01-Фев-24, (226)   Нет, не много, но 2 16 надо слать на все порты, обычно это 1024-65535 Те примерн, Ivan_83 (ok), 06:51 , 01-Фев-24, (234)   Это ты отлично придумал Теперь можно не только замедлить разрешение имён в атак, Аноним (255), 20:30 , 01-Фев-24, (257)   Примеры таких компаний , Аноним (279), 05:36 , 03-Фев-24, (279)   Когда амеры это сделают, по ТВ просто скажут что надо везде прописать суверенн, Kuromi (ok), 15:40 , 01-Фев-24, (242)   TLS у вас от вашего браузера до 8 8 8 8 А DNSSEC от 8 8 8 8 до остальных не, Sw00p aka Jerom (?), 22:46 , 01-Фев-24, (263)   А ведь 47 минут назад подпись всё-таки успешно поменяли https dnsviz net d , DragonX256 (ok), 18:06 , 31-Янв-24, (179) +2 На уровне слуховых слухов вся ситуация с заменой ключей DNSSEC отлично ложится н, Kuromi (ok), 15:36 , 01-Фев-24, (241) // есть такая гипотеза, а как иначе всех со всяких восьмерок и единичек перевес, Sw00p aka Jerom (?), 22:30 , 01-Фев-24, (262) // Ну сорянчик, боли роста , бывает , Kuromi (ok), 02:25 , 02-Фев-24, (269) роскомпозор пилит суверенный днс с подменой ключей, больше всех попали мобильные, Аноним (276), 11:33 , 02-Фев-24, (276) 1,2,3,4,5,7,8,11,12,48,56,60,62,72,81,82,87,132,160,164,178,179,241,276

Сообщения

[Сортировка по времени | RSS]

	201. "Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..."	+/–
	Сообщение от Ivan_83 (ok), 31-Янв-24, 19:24
	Зачем нужен ремень безопасности когда ты находишься в жидкой среде близкой по плотности к твоему телу и всё вместе это находится в поле поглощающем инерцию?! Фонаты включения DNSSec так и не могут объяснить зачем оно надо когда везде TLS. И не могут показать ни одной успешной атаки в реальном мире по отравлению кеша. Но DNSSec дОлжон быть включён, ведь в книжке же написано! А мутанты радеющие за суеверность или суверенность чебурнета не могут объяснить как чебурнет будет работать когда амеры/ican разделегирует .ru зону или "неудачно" что то там поменяют с DNSSec для этой зоны.
	Ответить | Правка | Наверх | Cообщить модератору

	204. "Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..."	+/–
	Сообщение от Аноним (255), 31-Янв-24, 19:32
	> Фонаты включения DNSSec так и не могут объяснить зачем оно надо когда везде TLS. «Фонаты» действительно много чего не могут. Попробуй спросить знающих людей. > И не могут показать ни одной успешной атаки в реальном мире по отравлению кеша. Вчера вкатился в айти по трёхмесячным курсам? Атаки по отравлению кэша перестали хорошо работать в какой-то момент, и причина тому отчасти DNSSEC. > А мутанты радеющие за суеверность или суверенность чебурнета не могут объяснить как чебурнет будет работать когда амеры/ican разделегирует .ru зону или "неудачно" что то там поменяют с DNSSec для этой зоны. Вижу, что как работает DNS и DNSSEC в частности ты просто не знаешь.
	Ответить | Правка | Наверх | Cообщить модератору

	209. "Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..."	+/–
	Сообщение от Ivan_83 (ok), 31-Янв-24, 20:04
	> Попробуй спросить знающих людей. Те не вас?) > Атаки по отравлению кэша перестали хорошо работать в какой-то момент Покажите примеры успешных атак, потому что я читал только про лабораторные опыты в контролируемых условиях. На практике слать 2^15 пакетов с фейковым ответом и надеятся попасть раньше ответа - такое себе.
	Ответить | Правка | Наверх | Cообщить модератору

	218. "Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..."	+/–
	Сообщение от Аноним (255), 31-Янв-24, 21:29
	> Те не вас?) Как скажешь. > Покажите примеры Я тебе покажу, а ты скажешь, что я «фонат» и придумаешь, почему это тоже лабораторный опыт. Не первый месяц тебя наблюдаю, знаю что ожидать. В очередной раз убедился, что доказывать кому-то что-то на опеннете — такое себе.
	Ответить | Правка | Наверх | Cообщить модератору

	226. "Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..."	+/–
	Сообщение от Sw00p aka Jerom (?), 01-Фев-24, 00:15
	> На практике слать 2^15 пакетов с фейковым ответом и надеятся попасть раньше ответа - такое себе. кек, а че это много разве? одновременно досишь неймсервер, который должен прислать ответ, и шлешь 2^n пакетов на сервер рекурсивного резолвер, кеш которого хотим отравить. (ток не забываем врубить спуфинг) А вот в случае с подписью днссек отравить кеш не получится. Даже если проспуфить и подсунуть ключ этого неймсервера. Надо проспуфить всю цепочку ключей от корня.
	Ответить | Правка | К родителю #209 | Наверх | Cообщить модератору

	234. "Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..."	+/–
	Сообщение от Ivan_83 (ok), 01-Фев-24, 06:51
	Нет, не много, но 2^16 надо слать на все порты, обычно это 1024-65535. Те примерно ближе к 2^30 - 2^31. Я там выше уже описал простой механизм противодействия этому: когда на сервере видим кучу ответов для которых не было запросов то помечаем домен как атакуемый и резолвим его по TCP. Худьшим вариантом станет возможность переключить на резолвинг через TCP и немного увеличить задержки при первом резолве. Юзеры не заметят.
	Ответить | Правка | Наверх | Cообщить модератору

	257. "Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..."	+/–
	Сообщение от Аноним (255), 01-Фев-24, 20:30
	> когда на сервере видим кучу ответов для которых не было запросов то помечаем домен как атакуемый и резолвим его по TCP. Это ты отлично придумал! Теперь можно не только замедлить разрешение имён в атакуемом домене, но ещё и повалить твой рекурсор банальным TCP досом. > немного увеличить задержки при первом резолве. Юзеры не заметят. Не только заметят, но ещё и начнут жаловаться. Для многих компаний увеличение задержек ответов от рекурсора на 1ms — нештатная ситуация, требующая немедленного вмешательства. Кексперт опеннета как есть.
	Ответить | Правка | Наверх | Cообщить модератору

	279. "Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..."	+/–
	Сообщение от Аноним (279), 03-Фев-24, 05:36
	> ля многих компаний увеличение задержек ответов от рекурсора на 1ms — нештатная ситуация, требующая немедленного вмешательства. Примеры таких компаний?
	Ответить | Правка | Наверх | Cообщить модератору

	242. "Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..."	+/–
	Сообщение от Kuromi (ok), 01-Фев-24, 15:40
	Когда "амеры" это сделают, по ТВ просто скажут что надо везде прописать суверенные DNS серверы и все. Примерно так получилось с выключением Мастеркарда\Визы - локальный эффект никакой. С удалением приложений банков из Гугль Плей в общем эффект вышел почти обратный - сначала sideloading помог, а потом по факту добились запуска локальных альт-магазинов приложений.
	Ответить | Правка | К родителю #201 | Наверх | Cообщить модератору

	263. "Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..."	+/–
	Сообщение от Sw00p aka Jerom (?), 01-Фев-24, 22:46
	> Фонаты включения DNSSec так и не могут объяснить зачем оно надо когда > везде TLS. TLS у вас от вашего браузера до "8.8.8.8". А DNSSEC от "8.8.8.8" до остальных неймсерверов. > Но DNSSec дОлжон быть включён, ведь в книжке же написано! Да, включен должен быть на рекурсивном резолвере. > А мутанты радеющие за суеверность или суверенность чебурнета не могут объяснить как > чебурнет будет работать когда амеры/ican разделегирует .ru зону или "неудачно" что > то там поменяют с DNSSec для этой зоны. Делов то, попросят всех добавить "корневые-скрепные" сервера в файлик named.root :)
	Ответить | Правка | К родителю #201 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема