abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
včera 17:11 | Komunita

Byl proveden bezpečnostní audit svobodného IMAP a POP3 serveru Dovecot (Wikipedie). Audit byl zaplacen z programu Mozilla Secure Open Source a provedla jej společnost Cure53. Společnost Cure53 byla velice spokojena s kvalitou zdrojových kódu. V závěrečné zprávě (pdf) jsou zmíněny pouze 3 drobné a v upstreamu již opravené bezpečnostní chyby.

Ladislav Hagara | Komentářů: 0
včera 15:30 | IT novinky

Nadace Raspberry Pi představila na svém blogu Raspberry Pi Compute Module 3 (CM3 a CM3L), tj. zmenšené Raspberry Pi vhodné nejenom pro průmyslové využití. Jedná se o nástupce Raspberry Pi Compute Module (CM1) představeného v dubnu 2014. Nový CM3 vychází z Raspberry Pi 3 a má tedy dvakrát více paměti a desetkrát větší výkon než CM1. Verze CM3L (Lite) je dodávána bez 4 GB eMMC flash paměti. Uživatel si může připojit svou vlastní. Představena byla

… více »
Ladislav Hagara | Komentářů: 0
včera 01:23 | Nová verze

Oficiálně bylo oznámeno vydání verze 3.0 multiplatformního balíku svobodných kancelářských a grafických aplikací Calligra (Wikipedie). Větev 3 je postavena na KDE Frameworks 5 a Qt 5. Krita se osamostatnila. Z balíku byly dále odstraněny aplikace Author, Brainstorm, Flow a Stage. U Flow a Stage se předpokládá jejich návrat v některé z budoucích verzí Calligry.

Ladislav Hagara | Komentářů: 5
15.1. 15:25 | Nová verze

Bylo oznámeno vydání první RC (release candidate) verze instalátoru pro Debian 9 s kódovým názvem Stretch. Odloženo bylo sloučení /usr jako výchozí nastavení v debootstrap. Vydán byl také Debian 8.7, tj. sedmá opravná verze Debianu 8 s kódovým názvem Jessie.

Ladislav Hagara | Komentářů: 6
15.1. 13:37 | Zajímavý projekt

1. ledna byl představen projekt Liri (GitHub). Jedná se o spojení projektů Hawaii, Papyros a původního projektu Liri s cílem vyvíjet operační systém (linuxovou distribuci) a aplikace s moderním designem a funkcemi. Včera byl představen Fluid 0.9.0 a také Vibe 0.9.0. Jedná se o toolkit a knihovnu pro vývoj multiplatformních a responzivních aplikací podporující Material Design (Wikipedie) a volitelně také Microsoft Design Language (designový jazyk Microsoft) [reddit].

Ladislav Hagara | Komentářů: 6
14.1. 00:33 | Zajímavý software

Google na svém blogu věnovaném open source představil knihovnu pro komprimaci a dekomprimaci 3D grafiky s názvem Draco. Knihovna bude využívána například v aplikacích pro virtuální a rozšířenou realitu. Porovnání Draco s gzip na YouTube. Zdrojové kódy Draco jsou k dispozici na GitHubu pod licencí Apache 2.0.

Ladislav Hagara | Komentářů: 5
13.1. 17:27 | IT novinky

V loňském roce proběhla úspěšná kampaň na Indiegogo na podporu GPD Win. Jedná se o malý 5,5 palcový notebook a přenosnou herní konzoli v jednom. Předinstalované Windows 10 lze nahradit Linuxem. V únoru by se na Indiegogo měla objevit kampaň na podporu 7 palcového notebooku GPD Pocket.

Ladislav Hagara | Komentářů: 32
13.1. 02:00 | Nová verze

Po pěti měsících od vydání verze 1.0.0 (zprávička) byla vydána verze 2.0.0 frameworku Kirigami (HIG) pro vytváření uživatelských rozhraní mobilních a konvergentních aplikací nad toolkitem Qt. Pro vyzkoušení je určena aplikace pro Android Kirigami gallery.

Ladislav Hagara | Komentářů: 0
12.1. 23:28 | Zajímavý software

Akční hra Lugaru HD od Wolfire Games (recenze) byla uvolněna jako svobodný software, a to včetně dat (pod licencí Creative Commons Attribution – Share Alike). Linuxový port byl v roce 2010 součástí první akce Humble Indie Bundle a engine byl krátce poté uvolněn pod licencí GNU GPL, což vedlo mj. k portu na AmigaOS. Autor mezitím pracuje na pokračování nazvaném Overgrowth.

Fluttershy, yay! | Komentářů: 0
12.1. 14:49 | Bezpečnostní upozornění

Na serveru Jabb.im bylo zveřejněno vyjádření k úniku dat z Jabbim Archive (pastebin). Dump databáze obsahuje komunikaci uživatelů, jejich IP adresy a logy aplikace od října 2015 do března 2016. Celkově se jedná o 8 GB dat, převažujícím jazykem zpráv je čeština a slovenština. O úniku informoval jako první server Motherboard. Jabbim Archive byla službou volitelnou, dostupnou pouze pro VIP uživatele. Podle provozovatele serveru Jabb.im k

… více »
Michal Makovec | Komentářů: 68
Jak se stavíte k trendu ztenčování přenosných zařízení (smartphony, notebooky)?
 (10%)
 (2%)
 (74%)
 (3%)
 (10%)
Celkem 298 hlasů
 Komentářů: 22, poslední dnes 09:59
    Rozcestník
    Reklama

    Dotaz: DDoS s pouzitim domeny, jejiz NS neodpovida nebo je pomaly

    BigWrigley avatar 21.2.2014 09:35 BigWrigley | skóre: 32
    DDoS s pouzitim domeny, jejiz NS neodpovida nebo je pomaly
    Přečteno: 455×
    Příloha:

    Dobry den.

    Posledni cca tri tydny bojujeme s DDoS utoky, ktere pomoci open resolveru nasich zakazniku generuji dotazy typu:

    qqgcqepehfu.vip.56bj56.com.
    cnsrwjwdijox.vip.56bj56.com.
    ebansrwhapcz.vip.56bj56.com.
    exezszezmhub.vip.56bj56.com.
    glkzqfglmdyd.vip.56bj56.com.
    ijqdmfofylov.vip.56bj56.com.
    mfsdmxwlsnkf.vip.56bj56.com.
    onynyxgrsvkn.vip.56bj56.com.
    wnutorcxkvwd.vip.56bj56.com.

    Neprijemne je, ze domena  56bj56.com existuje, ma NS, ale ten bud neodpovida nebo je velmi pomaly. To znamena, ze generujete-li dotazy dostatecne rychle a hostnames jsou nahodne, resoler otvira nova a nova spojeni az dojde pomerne zahy k vycerpani filedescriptoru (ten lepsi pripad) nebo, pokud je to opravdu masivni utok, skoncite na tom, ze nemate dost odchozich portu k otevreni spojeni a prestanete resolvovat. Bavime se ted o radove 10 tisicich pozadavku za sekundu. Cache se diky nahodnosti hostnames obchazeji a protze domena existuje, musi pro ziskani podstoupit rekurze.

    Samozrejme, ze resenim je zavrit ty otevrene resolvery, ale opravdu to _neni_ technicky/financne v rozumnem horizontu realizovatelne. Kolikrat vlastnik toho zarizeni ani nema tuseni, ze je zneuzit k utoku. Puvodcem utoku je Cina a domeny jsou podle nasich zjisteni zaregistrovane zrejme jen pro ucel tohoto utoku.

    Provedl jsem opatreni, kdy automaticky detekuji tenhle utok zjistenim aktualne "visicich" dotazu a presmerovavam tyhle domeny tak, ze vracim A zaznam 127.0.0.1. Resolveru se ulevi, a utocnika to prestane po chvili bavit a pak to zkusi s jinou domenou. Zatim to funguje, ale nevim, jestli to neni jen predzvest neceho horsiho. Take si nejsem uplne jisty, co je vlastne smyslem utoku, protoze to neni uplne standardni amplifikacni DDoS.

    Chtel bych se pozeptat, jestli s tim take nekdo bojujete a pripadne jak. Seznam zneuzivanych domen, co jsem zatim nachytal, je v priloze.

    A.

    Linux is like a wigwam - no windows, no gates and Apache inside.

    Odpovědi

    21.2.2014 10:19 Robert Kupka | skóre: 13
    Rozbalit Rozbalit vše Re: DDoS s pouzitim domeny, jejiz NS neodpovida nebo je pomaly

    Samozrejme, ze resenim je zavrit ty otevrene resolvery, ale...

    tak tie "open resolvery" aspon obmedzte na IP subnety vasich zakaznikov.
    BigWrigley avatar 21.2.2014 22:45 BigWrigley | skóre: 32
    Rozbalit Rozbalit vše Re: DDoS s pouzitim domeny, jejiz NS neodpovida nebo je pomaly
    Viz dale v diskusi. Poskytovane DNS servery a zakazniky pochopitelne omezene jsou. Potiz je v tom, ze je jich hodne. Nas resolver otevreny neni, resp. je otevreny jen pro zakazniky a jejich otevrene resolvery na zarizenich nejde zavrit.
    Linux is like a wigwam - no windows, no gates and Apache inside.
    21.2.2014 11:47 Ivan
    Rozbalit Rozbalit vše Re: DDoS s pouzitim domeny, jejiz NS neodpovida nebo je pomaly
    Zeptej se na lupe - tam najdes spoustu odborniku. Nedavno o tomhle utoku informovala GTSka.
    21.2.2014 20:41 Lukáš Džunko | skóre: 39 | blog: Jooky | Bratislava
    Rozbalit Rozbalit vše Re: DDoS s pouzitim domeny, jejiz NS neodpovida nebo je pomaly
    Trosku nechapem otazku ... Naco je dobre mat verejny resolver ? To je najvacsia prasacina aku moze admin spravit a taketo platanie nema nejaky dlhodoby vyznam. Predtym to bol utok vkladania "falosnych" zaznamov do cache. Teraz je to tento s vycerpanim file descriptorov. Neskorsie to moze byt cokolvek ine ... uzavretie open resolvera, alebo aspon limitacia na lokalne rozsahy je otazka par minut. Bez problemov sa to da spravit aj pocas "diagnostikovania" co sa vlastne s DNS deje ... Skorsie ako tri tyzdne platania problemu vam doporucujem si prejst infrastrukutru a opravit zasadny problem s konfiguraciou.
    BigWrigley avatar 21.2.2014 22:41 BigWrigley | skóre: 32
    Rozbalit Rozbalit vše Re: DDoS s pouzitim domeny, jejiz NS neodpovida nebo je pomaly
    Asi si uplne nerozumime. Predstavte si, ze jste ISP. Mate tisice klientu, kterym poskytujete resolver. Ten neni ani nahodou verejny. Je omezeny na klienty. Z venku, rozumejte verejneho Internetu se do nej nikdo nedostane. Infrastruktura zadny problem s konfiguraci nema. Jde o dva nezavisle systemy ktere citaji nekolik fyzickych serveru. Cely problem spociva v tom, ze na zarizenich zakazniku jsou ty otevrene resolvery, dostupne z Internetu. Ty maji nastavene forwardery na ty nase zakaznicke resolvery. Utok jde na ta zarizeni, ta jej otaceji vuci zakaznickemu resolveru. Jistym resenim by bylo omezit spojeni iniciovane z Internetu na na ta zarizeni. Jenze to taky uplne nejde, urcite procento zakazniku provozuje vlastni DNS server, ktery musi byt dostupny z Internetu. Nebavime se o par pocitacich. Jde o tisice zarizeni. Zkoumat, kdo ma vlastni DNS sever a delat podle toho pravidla vazne nejde.
    Linux is like a wigwam - no windows, no gates and Apache inside.
    menphis avatar 21.2.2014 23:42 menphis | skóre: 22 | blog: menphis_blog
    Rozbalit Rozbalit vše Re: DDoS s pouzitim domeny, jejiz NS neodpovida nebo je pomaly
    Na vasem miste bych asi zavedl omezeni DNS dotazu od zakazniku. Ten kdo provozuje vlastni, aspon trochu vetsi, emailovy server k nemu bude mit i DNS server. Pred zavedenim omezeni bych poslal zakaznikum email. IMHO lepsi situace, nez kdyz zakaznici budou mit i treba jen jednou za cas kvuli pretizenym DNS serverum nedostupny internet.
    BigWrigley avatar 22.2.2014 08:51 BigWrigley | skóre: 32
    Rozbalit Rozbalit vše Re: DDoS s pouzitim domeny, jejiz NS neodpovida nebo je pomaly
    To s tim, ze kdo ma mailserver bude mit i DNS je zajimava myslenka. Dik za tip, zkusim se nad tim jeste zamyslet. Asi by to chtelo jeste nejakou oporu ve vseobecnych obchodnich podminkach.
    Linux is like a wigwam - no windows, no gates and Apache inside.
    Jendа avatar 22.2.2014 00:54 Jendа | skóre: 73 | blog: Výlevníček | JO70FB
    Rozbalit Rozbalit vše Re: DDoS s pouzitim domeny, jejiz NS neodpovida nebo je pomaly
    Umíš zjistit, ze kterých zákazníků přichází ten DDoS? Tak ty odřízni.
    „To jsem nedávno zjistil, že naše televize jde ovládat po síti. Docela mě to překvapilo.“ „Jo? A kdo vám ji ovládal?“
    BigWrigley avatar 22.2.2014 08:47 BigWrigley | skóre: 32
    Rozbalit Rozbalit vše Re: DDoS s pouzitim domeny, jejiz NS neodpovida nebo je pomaly
    Umim, ale nejde jen tak odriznout tisice zakazniku, kteri ani netusi, ze nekdo jejich zarizeni zneuziva. Kdo by pak resil ty stiznosti.
    Linux is like a wigwam - no windows, no gates and Apache inside.
    22.2.2014 09:44 trekker.dk | skóre: 71
    Rozbalit Rozbalit vše Re: DDoS s pouzitim domeny, jejiz NS neodpovida nebo je pomaly
    No, není náhodou tohle náplní práce ISP?
    Quando omni flunkus moritati
    Jendа avatar 22.2.2014 15:02 Jendа | skóre: 73 | blog: Výlevníček | JO70FB
    Rozbalit Rozbalit vše Re: DDoS s pouzitim domeny, jejiz NS neodpovida nebo je pomaly
    Řešit neoprávněné (zákazníci si za to můžou sami) stížnosti? Spíš ne. Ale to odříznutí jo.
    „To jsem nedávno zjistil, že naše televize jde ovládat po síti. Docela mě to překvapilo.“ „Jo? A kdo vám ji ovládal?“
    23.2.2014 00:38 trekker.dk | skóre: 71
    Rozbalit Rozbalit vše Re: DDoS s pouzitim domeny, jejiz NS neodpovida nebo je pomaly
    Oprávněnost stížnosti zákazníka není relevantní. Zákazník si bude stěžovat a pokud nechceš být za idiota, musíš se mu věnovat, což stojí čas, tedy peníze.
    Quando omni flunkus moritati
    Jendа avatar 22.2.2014 15:00 Jendа | skóre: 73 | blog: Výlevníček | JO70FB
    Rozbalit Rozbalit vše Re: DDoS s pouzitim domeny, jejiz NS neodpovida nebo je pomaly
    Odříznutí spamující/dosující/hackující mašiny je podle mě naprosto normální a správný krok. A jestli tě to potěší, ostatní ISP to většinou dělají.
    „To jsem nedávno zjistil, že naše televize jde ovládat po síti. Docela mě to překvapilo.“ „Jo? A kdo vám ji ovládal?“
    BigWrigley avatar 22.2.2014 20:43 BigWrigley | skóre: 32
    Rozbalit Rozbalit vše Re: DDoS s pouzitim domeny, jejiz NS neodpovida nebo je pomaly
    Ja osobne bych to take tak nejradeji udelal. Ale ten problem ma dve roviny. Technickou a rekneme organizacne-politicko-obchodni. Technicky je to jasne. Zavrit otevrene resolvery a mezitim zablokovat skodici IP. Nebo je alespon limitovat. V te druhe rovine to ale pruchozi (alespon v teto chvili, bez toho, aniz by byl pripraven plan, jak dal) mozne neni. Proto jsem otevrel tuhle diskusi. Abych zjistil, jake technicke prostredky se daji pouzit, proto budu rad za jakoukoliv inspiraci.

    Momentalne pouzivam presmerovani domen. Ten rate-limiting urcite stoji zkousku. Bude se to muset ale odladit, myslim, ze defaultni velikost connection tracking tabulky zde nebude stacit. Mam take moznost pouzit nejaky DPI box a analyzovat DNS dotazy v siti a filtrovat.
    Linux is like a wigwam - no windows, no gates and Apache inside.
    Jendа avatar 22.2.2014 21:06 Jendа | skóre: 73 | blog: Výlevníček | JO70FB
    Rozbalit Rozbalit vše Re: DDoS s pouzitim domeny, jejiz NS neodpovida nebo je pomaly
    Proto jsem otevrel tuhle diskusi. Abych zjistil, jake technicke prostredky se daji pouzit, proto budu rad za jakoukoliv inspiraci.
    Někdy politické problémy není možné řešit technicky.

    rate-limiting se skoro rovná odříznutí floodujících klientů. Taky by jim bylo možné nastavit časový limit na vyřízení jednoho dotazu, po jehož uplynutí se vrátí NXDOMAIN.
    „To jsem nedávno zjistil, že naše televize jde ovládat po síti. Docela mě to překvapilo.“ „Jo? A kdo vám ji ovládal?“
    stativ avatar 23.2.2014 10:41 stativ | skóre: 54 | blog: SlaNé roury
    Rozbalit Rozbalit vše Re: DDoS s pouzitim domeny, jejiz NS neodpovida nebo je pomaly
    Já bych byl pro méně radikální řešení. Dočasně nasadit rate-limiting a hromadně rozeslat problematickým zákazníkům s otevřeným resolverem mail ať si to spraví, nebo je po nějaké době (třeba třech dnech) odříznete. Je dost pravděpodobné, že o tom, že někdo jejich resolver zneužívá, vůbec neví a až se to dozví, tak si to rádi opraví. Jde přece o bezpečnost.
    Ať sežeru elfa i s chlupama!!! ljirkovsky.wordpress.com stativ.tk
    MMMMMMMMM avatar 23.2.2014 11:12 MMMMMMMMM | skóre: 41 | blog: unstable | Valašsko :-)
    Rozbalit Rozbalit vše Re: DDoS s pouzitim domeny, jejiz NS neodpovida nebo je pomaly
    Tak tak, omezit, odříznout a pokud nezjednají nápravu, ať si DNS traffic tlačí třeba přes otevřené DNS resolvery Googlu. :)
    21.2.2014 22:58 vandrovnik
    Rozbalit Rozbalit vše Re: DDoS s pouzitim domeny, jejiz NS neodpovida nebo je pomaly
    A nebylo by možné zákazníkům limitovat počet dotazů za sekundu a další rovnou odmítat? Většina by žádné omezení nezaznamenala a ti, co provozují otevřené DNS, by si uvědomili, že to musejí řešit... A jak moc je těch domén? Třeby byste si pro celou tu doménu mohli udělat falešný záznam u sebe...
    BigWrigley avatar 21.2.2014 23:09 BigWrigley | skóre: 32
    Rozbalit Rozbalit vše Re: DDoS s pouzitim domeny, jejiz NS neodpovida nebo je pomaly
    To by asi bylo mozne. Jenze bude problem s nastavenim thresholdu. Zakaznici maji treba vytizeny mailserver, ktery generuje o rad vice dotazu nez bezny klient. Takze threshold bude vysoko a moc to IMHO nezafunguje.

    Falesne zaznamy uz vyrabim a to automaticky. Napadlo me, jestli se neda vracet NX DOMAIN s nejaky dlouhym TTL. Pak by klientsky resolver zakesoval, ze domena neexistuje (?) a do dalsi by byl klid. Ale nejsem si jisty, jestli to tak funguje i pro NX DOMAIN.

    Jinak to v tuto chvili neni nijak kriticke, mechanismus presmerovani domeny zabira. Spis me slo o to, jestli se na to da nejak chytre reagovat.
    Linux is like a wigwam - no windows, no gates and Apache inside.
    22.2.2014 09:32 Filip Jirsák
    Rozbalit Rozbalit vše Re: DDoS s pouzitim domeny, jejiz NS neodpovida nebo je pomaly
    Limitovat počet dotazů je dobrý nápad. A nemusíte přece limitovat všechny, stačí limitovat ty, od kterých přichází ty dotazy související s útokem. Jejich majitele pak můžete kontaktovat, vysvětlit, co je za problém a ideálně jim poradit i jak jej mají vyřešit. Vzhledem k tomu, že jim nebude moc fungovat DNS resolver, bude rychlé řešení i v jejich vlastním zájmu. Pořád mi připadá lepší řešit stížnosti těch, kteří problém způsobují, než řešit stížnosti ostatních uživatelů, kteří mají vše v pořádku, ale útokem jsou postiženi stejně, protože jim váš DNS server nedokáže odpovědět. Navíc si myslím, že ISP musí být zodpovědný za provoz ve své síti - jinak za chvíli bude internet jen samý spam a DDoS, a normální provoz se přesune někam jinam.

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.