Budeme mít dva Internety? Ten současný a čínský?

Ondřej Surý z Laboratoří CZ.NIC zpracoval na blog sdružení aktuální téma, kterému se teď věnuje komunita kolem IETF. Jedná se o podání internetového draftu, za nimž stojí tři čínští internetoví specialisté. Jejich návrh počítá s tím, že by vedle stávajícího DNS stromu vznikl další „autonomní“ DNS strom, který by podle zvážení jeho správce obsahoval pouze některé top level domény. Takových nezávislých stromů by mohlo být v Internetu více a přístup mezi nimi by byl zajištěn pomocí translačních bodů, které by odpovídaly na dotazy ležící v uměle vytvořeném podstromu. „Osobně vnímám takovou iniciativu za velmi škodlivou otevřenému Internetu a domnívám se, že by IETF v žádném případě nemělo legitimizovat cenzuru tohoto druhu a zasadíme se o to, aby tento návrh v IETF neprošel,“ píše Ondřej Surý, který se ve svém blogpostu věnuje i tomu, jak by taková komunikace mohla vypadat.

19.6.2012 09:23 | Vilem Sladek | Zajímavý článek

Komentáře

[asdad]

je mozne si spravit sifrovany p2p dns system - nejaka nova vrstva nad sucasnym ?

[Foo Bar]

To se furt opakuje dokola... zkuste do Google zadat: "Why p2p dns will not work?"

Případně třeba tenhle článek: https://nohats.ca/wordpress/?p=108

Kdyby vám to zrovna nejelo, tak Google cache (Paul tam nějak čachruje s TLSA záznamy...)

[vvv]

V pripade pouziti .p2p jen pro domeny, ktere jsou pravidelne ruseny v klasickem dns jsou argumenty o bezpecnosti irelevantni.

Pokud budu chtit pristupovat na thepiratebay.p2p, tak si nejakou treti cestou obstaram klic, kterym budou podepisovane zaznamy v p2p dns od thepiratebay.p2p. A kdykoliv mi p2p dns resolvne ip pro thepiratebay.p2p, tak si muzu overit, jestli se jedna o spravnou nebo fake ip.

[j]

To je zase porad dokola, jako kdyby v beznym DNS ktery se dnes a denne pouziva byl nejakej problem podvrhnout naprosto libovolnou odpoved. A DNSSEC nic neresi.

Nehlede na to, ze p2p eliminuje podvodniky z principu, podobne jako z torrenti site velmi rychle vypadne seed, kterej posila neplatny casti. V p2p siti neni problem se zeptat desitek, pripadne i stovek peeru na totez a odpovedi porovnat. To v DNS systemu nelze, tam jsou 2 - N (kde N je velmi male cislo) servery, kterym proste verit musim, at chci nebo nechci, pricemz nikde neni receno, ze nekdo na nadrizenem serveru nepodvadi (a jako ze podvadi, viz kradeze domen v posledni dobe).

=> p2p DNS muze naprosto spolehlive fungovat, a je to naprosto dokonale reseni soucasnych potizi s DNS - zadne prodavani domen, jednoduse kdo driv prijde, ten driv mele, zasadni navyseni bezpecnosti i vykonu ...

[pavlix]

A DNSSEC nic neresi.

To je pořád do kola. Vždycky přijde někdo, kdo bohorovně prohlásí totální pitomost. Jo, kdybys napsal, že něco neřeší a to něco specifikoval konkrétně, to by bylo o něčem jiném, že.

=> p2p DNS muze naprosto spolehlive fungovat, a je to naprosto dokonale reseni soucasnych potizi s DNS - zadne prodavani domen, jednoduse kdo driv prijde, ten driv mele, zasadni navyseni bezpecnosti i vykonu ...

Tak na tu piratebay by to fungovat mohlo... ale piratebay není všechno.

[j]

Tak schvalne, co resi DNSSEC, teda krome toho, ze znasobuje silu utoku pomoci DNS serveru, tudiz mi staci par desitek masin a zahltim ti linku? Kazdej koncak pouziva nejakej DNS, kdyz mu poslu libovolnou odpoved, tak ji akceptuje zcela automaticky jako spravnou.

Co mas za problem s tim, ze kdo si regne domenu prvni, tomu patri, neb nikdo jinej od ni nema klic a duplicity sit neumozni? Co mas za problem s tim, ze se muzu zeptat X klientu p2p site zda maji stejny zaznam?

[Martin Mareš]

Tak schvalne, co resi DNSSEC, teda krome toho, ze znasobuje silu utoku pomoci DNS serveru, tudiz mi staci par desitek masin a zahltim ti linku?

Red herring.

Mimochodem, umíte spočítat, jak budou zatížené linky při masovém použití vaší oblíbené P2P DNS? Vůbec by mě nepřekvapilo, kdyby pak ani žádné úmyslné útoky nebyly potřeba :)

Kazdej koncak pouziva nejakej DNS, kdyz mu poslu libovolnou odpoved, tak ji akceptuje zcela automaticky jako spravnou.

Může si zkontrolovat její podpis. Pokud to nedělá, jeho blbost. Můj resolver to dělá.

duplicity sit neumozni?

A to se zařídí jak?

[Jendа]

A to se zařídí jak?

Obdobně, jako Bitcoin eliminuje z blockchainu kolizní transakce.

[pavlix]

Tak schvalne, co resi DNSSEC, teda krome toho, ze znasobuje silu utoku pomoci DNS server

Doporučuju si nejprve přečíst, co to DNSSEC je. Až to budeš vědět, můžeme spolu začít diskutovat :).

[Martin Mareš]

zadne prodavani domen, jednoduse kdo driv prijde, ten driv mele,

A jak se to brání proti DoS útokům, při nichž prostě někdo přijde a registruje si celý slovník?

[Jendа]

Výpočetní náročností registrace (Namecoin).

[Foo Bar]

Aha, takže to nejsou zrovna black hats, co teď aktuálně mají k dispozici velkou výpočetní sílu ve formě botnetů?

Nehledě na to, že prostě nejde předstírat, že mě nějaké ochranné známky[1], a další věci[2] z reálného světa nezajímají. Ve chvíli, kdy začnete mapovat reálný svět do DNS, které navíc má ještě další vlastnosti, tak vždy narazíte.

<sub>1. Ve vztahu ke spekulativním registracím domén.
2. Pamatujete třeba na kauzu porna na dagmarhavlova.cz?</sub>

[Jendа]

Aha, takže to nejsou zrovna black hats, co teď aktuálně mají k dispozici velkou výpočetní sílu ve formě botnetů?

Mají, ale všimni si, že třeba pořád ještě nikdo nespočítal alternativní blockchain. Čím to?

Osobně bych se ale k projektu P2P DNS nepřidal, přijde mi, že přináší příliš málo výhod. Mnohem víc se mi líbí přímé adresování pomocí hashů veřejných klíčů, které se používá třeba v .onion.

[j]

A jak se brani stavajici DNS system? Pokud bude nejaka velka firma chcit, jsou to pro ni drobne, a muze si regnout miliony slov.

[Martin Mareš]

Pokud se něco takového začne dít, není problém registrační pravidla upravit tak, aby se to dít přestalo. To se s distribuovaným systémem dělá těžko.

[Filip Jirsák]

zadne prodavani domen, jednoduse kdo driv prijde, ten driv mele

A když dřív přijde víc zájemců, tak budeme mít v síti několik vlastníků jednoho DNS jména a adresy se budou různě přelévat, podle toho, která část sítě bude zrovna silnější? Když se odpojí větší část sítě (třeba kvůli chybě), tak se prostě část DNS záznamů zapomene a po opětovném připojení začnou registrace nanovo? Případně pokud se nenajde dost provozovatelů uzlů, rovnou se celý DNS vypne? Na nějaké operativní změny DNS záznamů v řádu minut můžeme rovnou zapomenout…

je to naprosto dokonale reseni soucasnych potizi s DNS

Asi máme každý úplně jinou představu o tom, co jsou současné potíže DNS.

[j]

Zadnych vic zajemcu se nenajde, jeden je vzdycky prvni. Ostatni sit velmi snadno eliminuje. Zadna vetsi cast site se neodpoji, neb pro zajisteni dostupnosti zaznamu si jaksi kazdy musi drzet spusteneho sveho klienta nebo jaksi mit ten zaznam "u nekoho", nehlede na to, ze v pripade jaderne valky mi asi bude celkem uprdele ze nefunguje DNS. Zmeny z minuty na minutu nejsou mozne ani v soucasne DNS systemu, co vic, uplne stejne to nemuzete absolutne vubec ovlivnit, protoze cache cestou rozhodne nemusi respektovat vase debilni nastaveni typu "1s".

[Filip Jirsák]

Zadnych vic zajemcu se nenajde, jeden je vzdycky prvni.

O tom, kdo byl první, musí rozhodnout nějaká autorita, centrum. Bez toho to nejde – nejen v DNS, ale nikde, z principu.

Zadna vetsi cast site se neodpoji, neb pro zajisteni dostupnosti zaznamu si jaksi kazdy musi drzet spusteneho sveho klienta nebo jaksi mit ten zaznam "u nekoho"

No právě. Když ten záznam bude mít jen u sebe, je mu celkem k ničemu. Aby ho měl ještě u někoho, musí ten někdo mít důvod ten záznam u sebe hostovat.

nehlede na to, ze v pripade jaderne valky mi asi bude celkem uprdele ze nefunguje DNS

V případě jaderné války možná. Ale v případě, že se někdo na jižní Moravě při konfiguraci Cisca uklepne a napíše o jednu nulu navíc, bude celkem nemilé, že se následkem toho zruší spousta domén a začne boj o to, komu se podaří svou registraci třeba Seznam.cz pomocí botnetů a masivních útoků prosadit do sítě.

Zmeny z minuty na minutu nejsou mozne ani v soucasne DNS systemu

Změny v řádu minut možné samozřejmě jsou. Že by nějaká keš nerespektovala TTL 5 minut, to nebude moc častý případ.

[Erbureth]

Že by nějaká keš nerespektovala TTL 5 minut, to nebude moc častý případ.

Třeba takový Google DNS...

[Filip Jirsák]

To máte odkud? Já jsem takovou informaci nikde nenašel.

[Erbureth]

Osobní zkušenost při změně IP serverů. Google DNS vracel staré adresy i dlouho (řádově hodiny, pak už jsme to nezkoumali) po očekávaném doběhnutí TTL...

[Jendа]

O tom, kdo byl první, musí rozhodnout nějaká autorita, centrum. Bez toho to nejde – nejen v DNS, ale nikde, z principu.

Přečtěte si něco o distributed network consensus, třeba v mém článku.

No právě. Když ten záznam bude mít jen u sebe, je mu celkem k ničemu. Aby ho měl ještě u někoho, musí ten někdo mít důvod ten záznam u sebe hostovat.

Hostuje se distribuovaně v P2P.

V případě jaderné války možná. Ale v případě, že se někdo na jižní Moravě při konfiguraci Cisca uklepne a napíše o jednu nulu navíc, bude celkem nemilé, že se následkem toho zruší spousta domén a začne boj o to, komu se podaří svou registraci třeba Seznam.cz pomocí botnetů a masivních útoků prosadit do sítě.

Ano, tohle je ten problém. Osobně bych takový systém považoval za bezpečný v případě, že k útoku bude potřeba řádově 2¹²⁸ operací, což tady není a ani nemůže být. Proto se mi líbí adresování typu .onion - řeší dvě mouchy jednou ranou - DNS i ověření SSL certifikátu.

[Filip Jirsák]

O tom, kdo byl první, musí rozhodnout nějaká autorita, centrum. Bez toho to nejde – nejen v DNS, ale nikde, z principu.

Přečtěte si něco o distributed network consensus, třeba v mém článku.

Myslel jsem, že to bude zřejmé z kontextu. Asi ne, tak ještě jednou podrobněji: Pokud má být údaj o tom, kdo byl první, jednoznačný a neměnný, musí o tom rozhodnout nějaká autorita. Pokud se spokojíte s tím, že za prvního je považován ten, kdo je zrovna silnější, pak autoritu opravdu nepotřebujete. Ale pak tomu neříkejte „první“, to v češtině znamená úplně něco jiného; říkejte tomu tak, jak je to doopravdy, tedy silnější/bohatší.

Hostuje se distribuovaně v P2P.

Ono samo? Neřekl bych. Někdo na to musí poskytnout svou infrastrukturu, a pak si také může rozhodovat o tom, jaké domény na jeho infrastruktuře budou hostované. Takový Microsoft s tím nebude mít problém, ten si přítomnost na dostatečném počtu uzlů zaplatí. Ale Lucka96 se svým bložínkem asi bude mít smůlu, protože motivaci hostovat její záznam bude mít leda tak její ISP. A pak pár nadšenců do P2P DNS, u kterých ale budou chtít hostovat miliony bložínků, takže Lucka96 bude mít hodně malou šanci, že se její záznam u nějakého takového nadšence aspoň na pár minut uchytí. Takže nalezení DNS záznamu bložínku Lucka96 bude efektivně znamenat udělat anycastový dotaz na celý internet „neumíte někdo přeložit lucka96.blozinek.cz“? No, jako nápad, jak položit celý internet najednou, je to vlastně geniální…

[Käyttäjä 11133]

Ale pak tomu neříkejte „první“, to v češtině znamená úplně něco jiného; říkejte tomu tak, jak je to doopravdy, tedy silnější/bohatší.

Za to dneska nepříjde silnější (stát) a záznamy v DNS zůstávají na věky věků, dokdu je platíš registrátorovi, viď?

[Foo Bar]

Za to dneska nepříjde silnější (stát) a záznamy v DNS zůstávají na věky věků, dokdu je platíš registrátorovi, viď?

1. Ale to je vcelku standardní i v normálním životě, a máte možnost se obrátit na soud.
2. Tento argument je v rámci diskuze o p2p dns naprosto irelevantní

[Käyttäjä 11133]

1. Tento argument je zcela relevantní v diskusi na téma kde se jako problém DNS považuje možnost centrálních státních autorit odstavit DNS záznamy z centrálního DNS registru. A celým důvodem navrhování P2P DNS je nalezení způsobu jak nčemu takovému zabránit.

2. Navrhuji aby se všichni lidé kteří žijou v Číně a využívají Internet obrátili na místní úřady kvůli chybějícím/blokovaným DNS záznamům.

[Martin Mareš]

Je přeci jenom rozdíl mezi tím, když oním silnějším může být jenom stát, a když to může být v zásadě kdokoliv.

Abychom si rozuměli: distribuovanou DNS bez centrální autority považuji za zajímavý nápad, který by se zajisté hodil, jen nevěřím, že kterákoliv ze zatím navržených implementací má šanci rozumně fungovat.

[Käyttäjä 11133]

Abychom si rozuměli: distribuovanou DNS bez centrální autority považuji za zajímavý nápad, který by se zajisté hodil, jen nevěřím, že kterákoliv ze zatím navržených implementací má šanci rozumně fungovat.

Tak já až budu někdy zase v Praze, tak vás s Aničkou pozvu na večeři a než stihneme dojíst, tak ty určitě něco vymyslíš... :) Nebo se alespoň posuneme k definici klíčových požadavků na takový systém, protože pokud vím, tak do dneška nikdo nevypracoval ani analýzu, co by takový systém měl splňovat.

[Jendа]

Občas se obávám, jestli takový systém lze bez nevýhod Bitcoin-like schémat vůbec udělat, a jestli nám to za to případně stojí. Podívej se, jak to nakonec technicky vyřešili u .onion. Daní za to je, že u domén 2. řádu nejdou vyrobit „lidská“ jména, ale je z toho hgwe5oihhw2gbs5hgi.

[Martin Mareš]

Občas se obávám, jestli takový systém lze bez nevýhod Bitcoin-like schémat vůbec udělat, a jestli nám to za to případně stojí.

Já mám obavu o něco úplně jiného: rychlost decentralizovaného hledání. Kdysi jsem něco takového počítal pro distribuované indexování webu a vyšlo mi, že průměrná zátěž uzlu musí růst minimálně s druhou odmocninou celkového počtu uzlů, což je nejspíš příliš. U DNS by tomu mohly pomoci cache, ale pochybuji, že budou mít zase tak podstatný efekt na asymptotické chování celého systému. Chtělo by to, aby to někdo zkusil namodelovat pořádně.

[Martin Mareš]

Triviální (velmi zjednodušující) model vypadá takto: uvažujme, že síť má tvar rovinného grafu, jehož vrcholy jsou stejně rychlé počítače. Počet vrcholů označme n.

Podle Liptonovy-Tarjanovy věty o planárním separátoru existuje množina O(sqrt(n)) vrcholů (separátor), jejichž odebráním se graf rozpadne na komponenty, z nichž každá má nejvýš 2/3*n vrcholů. [Jednodušší verze: pokud bych předpokládal, že síť má tvar pravidelné mřížky, pak stačí vzít prostě řez polovinou sítě a ten tuto vlastnost určitě má, dokonce s polovinou místo 2/3.]

Mohu tedy najít dvě množiny vrcholů velikosti alespoň n/3, říkejme jim třeba X a Y, takové, že každá cesta z X do Y vede přes některý z vrcholů separátoru.

Nyní uvažujme, že každý vrchol za jednotku času vygeneruje dotaz na data uložená v náhodně vybraném vrcholu. Vrcholy v množině X tedy vygenerují alespoň n/3 dotazů a v průměru alespoň n/9 z nich povede do vrcholů v množině Y.

Jinými slovy počítače ležící v separátoru musí předat průměrně alespoň n/9 dotazů, ale jelikož jich je jen řádově sqrt(n), musí přes každý z nich projít v průměru řádově sqrt(n) dotazů.

To tedy znamená, že síť musí nutně obsahovat velmi výkonné počítače, jejichž výkon poroste s velikostí sítě (a co hůř, jelikož každou z množin mohu dále dělit malými separátory, nakonec to nejspíš dopadne tak, že těch výkonných počítačů bude muset být daleko víc než sqrt(n)).

Jistě, je to velmi trivializující model, například vůbec nebere v úvahu pravděpodobnostní rozdělení dotazů, které má daleko k rovnoměrnému, takže většina dotazů může být účinně cacheována. Ale ukazuje, že ta nerovnoměrnost by musela být opravdu velká, aby přeprala asymptotické vlastnosti rovinných grafů.

(Struktura DNS a Internetu vůbec se tomuto problému nevyhýbá: prostě ty výkonné stroje na správných místech má :) Jenže těžko předpokládat, že taková struktura vznikne živelně a že se bude udržovat sama.)

[lertimir]

+1

[Filip Jirsák]

Můžete uvést nějaký konkrétní případ, kdy výkonná moc státu takhle převzala nějakou doménu? Ideálně příklad z ČR? A můžete četnost případů porovnat s tím, kdy by si bohatá firma převzala jakýkoli záznam, který by se jí hodil?

[Käyttäjä 11133]

Můžete uvést nějaký konkrétní případ, kdy výkonná moc státu takhle převzala nějakou doménu?

Třeba tady a nebo tady?

Ideálně příklad z ČR?

Na to jsou v ČR zatím moc malí páni a musejí se zatím spíš starat kde co rozkrást.

A můžete četnost případů porovnat s tím, kdy by si bohatá firma převzala jakýkoli záznam, který by se jí hodil?

A ty tu četnost případů snad můžeš porovnat? Dokud nevíš jaká bude implemetace takové P2P DNS, tak těžko můžeš vědět jak náročná bude operace "registrace domény", případně "přeregistrace domény", uvolnění domény,... Třeba .onion adresy se dneska kradou běžně, viď?

[Filip Jirsák]

Dokud nevíš jaká bude implemetace takové P2P DNS, tak těžko můžeš vědět jak náročná bude operace "registrace domény", případně "přeregistrace domény", uvolnění domény,...

Úplně stačí vědět, že výpočetní náročnost takové operace bude stejná pro Luboše jako vlastníka AbcLinuxu.cz i pro Microsoft. Akorát že Microsoft má k dispozici asi tak milionkrát větší výpočetní výkon, než Luboš. Takže co se stane, když se v síti objeví požadavky na registraci AbcLinuxu.cz od Luboše i od Microsoftu? Microsoft vyhodí Lubošův požadavek ("dorazil pozdě") a začne počítat hash na svém clusteru. Luboš mu může zkusit konkurovat se svým jedním serverem. To, že bude hash počítat ještě někdo další, nemá na věc vliv - ty lze stejným způsobe ovlivnit pomocí počtu požadavků.

A to jsem použil implementaci a la Bitcoin, takže by si každý uzel musel držet kompletní DNS strom, což by také byl pěkný bumbrlíček.

[Jendа]

Každý, kdo chce mít konzistentní blockchain, musí mít všechny záznamy.

[Filip Jirsák]

Přeloženo do P2P DNS: Každý, kdo chce ostatním poskytovat DNS záznamy, musí mít kompletní celosvětový DNS strom, tedy odhadem několik desítek gigabajtů.

[Martin Mareš]

Přečtěte si něco o distributed network consensus, třeba v mém článku.

Kde se tam o tom něco píše, tedy kromě triviální zmínky, že Bitcoin volí nejdelší řetězce (aniž by se diskutovalo, co se stane, když jich je víc).

[Jendа]

Zadna vetsi cast site se neodpoji, neb pro zajisteni dostupnosti zaznamu si jaksi kazdy musi drzet spusteneho sveho klienta nebo jaksi mit ten zaznam "u nekoho", nehlede na to, ze v pripade jaderne valky mi asi bude celkem uprdele ze nefunguje DNS.

Zaprvé i u IRC nebo Bitcoinu dochází k netsplitům. Tak to prostě je a bude. Naštěstí jsou většinou dost krátké, takže se to vždycky opraví samo.

Zadruhé, funkčnost komunikací v případě války naopak považuji za velmi důležitou. Proto se mi taky nelíbí centralizovaná řešení, protože to prostě _jde_ sejmout.

[Filip Jirsák]

P2P řešení DNS jde sejmout řádově snáz, než současné centralizované DNS. Ono by úplně stačilo, aby bylo v síti zapojeno málo sdílejících uzlů (Skype může vyprávět), a sesype se to samo od sebe.

[Jendа]

A když dřív přijde víc zájemců, tak budeme mít v síti několik vlastníků jednoho DNS jména a adresy se budou různě přelévat, podle toho, která část sítě bude zrovna silnější?

Praxe ukázala, že takové konflikty se většinou vyřeší do půl hodiny.

Když se odpojí větší část sítě (třeba kvůli chybě), tak se prostě část DNS záznamů zapomene a po opětovném připojení začnou registrace nanovo?

Ano, toto je problém a je to jeden z hlavních důvodů, proč bych třeba Bitcoinu nikdy nesvěřil větší finanční částku po delší dobu. Ale netrpí podobným problémem i centralizované DNS?

[Filip Jirsák]

Praxe ukázala, že takové konflikty se většinou vyřeší do půl hodiny.

Zapomněl jste dodat maličkost – vyřeší se to tak, že silnější vyhraje. Takže když třeba nějaký blogger vydá článek, který bude nepohodlný pro vládu nebo Microsoft, nemusí s P2P DNS Microsoft tlačit na vládu a vláda složitě na registrátora domén. Jednoduše si MS nebo vláda na chvíli koupí nějakou výpočetní farmu a DNS záznam příslušného bloggera prostě násilím převezmou. Nebo-li v P2P DNS platí právo silnějšího, tedy bohatšího. Při masovém nasazení P2P DNS by se tedy cenzura ze strany bohatých neomezila, naopak by se jim významně usnadnila.

[Jendа]

1. Není pro MS jednodušší místo počítání alternativního blockchainu poslat tomu bloggerovi třeba přes oblíbený DNS amplifikační útok terabitový dáreček?

2. Zatím nebyl zaznamenán žádný případ útoku na Bitcoin, kdy by někdo provedl rollback transakce publikací alternativního blockchainu. A to se tam točí slušné peníze.

3. Souhlasím ale, že konsenzus dosahovaný silou má spoustu problémů. Třeba Bitcoin funguje, ale jako primární platební systém bych ho nechtěl.

[Filip Jirsák]

Není pro MS jednodušší místo počítání alternativního blockchainu poslat tomu bloggerovi třeba přes oblíbený DNS amplifikační útok terabitový dáreček?

Nebude pro MS rozdíl, jestli se mu podaří AbcLinuxu.cz na pár hodin odstavit DDoSem, nebo zda se mu podaří doménu převzít a přesměrovat na windows.microsoft.com?

Zatím nebyl zaznamenán žádný případ útoku na Bitcoin, kdy by někdo provedl rollback transakce publikací alternativního blockchainu. A to se tam točí slušné peníze.

Což je ale dost vzdálené útoku na registraci DNS názvu. Útok na registraci DNS by odpovídal publikaci blockchainu, který obsahuje jen jednu ze dvou transakcí provedených v krátkém časovém odstupu.

[Martin Mareš]

Praxe ukázala, že takové konflikty se většinou vyřeší do půl hodiny.

O jaké praxi je řeč? O triviálním nasazení na malou množinu uzlů a záznamů? Nebo o něco relevantního, jako třeba matematický model nasazení na alespoň miliony uzlů se stovkami milionů záznamů?

[Foo Bar]

Zásah, potopená! :)

[Jendа]

O P2P peněžním systému, přes který se denně protočí v desítkách tisících transakcí čtvrt miliardy korun.

[Martin Mareš]

Což je ovšem úplně jiná situace než s DNS. Ať už způsobem používání, tak počtem transakcí, který je u DNS nejspíš o několik řádů vyšší. A také jsou u DNS daleko vyšší požadavky na rychlost.

[deafboy]

http://dot-bit.org/Main_Page

[mess]

A kdo jim brání vytvořit si separátní DNS strom už teď? Nevidím v tom žádný háček. Není důvod, proč by se měl psát nový standard.

[Foo Bar]

Takhle by mohli říct - hele, ale my neděláme nic špatného, jen dodržujeme IETF standard...

V podstatě jde o legitimizaci toho, co už tak trochu dělají teď...

[Foo Bar]

Kdyby to chtěl někdo sledovat přímo u zdroje, tak tady začíná to vlákno: http://www.ietf.org/mail-archive/web/dnsext/current/msg12516.html

[R]

Orange SK ponuka u nas nejake "internety". Jeden z nich je asi ten cinsky...

[AsciiWolf]

Jo, u nás zase poskytoval tuším Vodafone skvělou nabídku "dva internety za cenu jednoho", jeden z nich byl rovněž nejspíš ten čínský.

[Petr]

O2

[bhy]

http://www.blisty.cz/art/63868.html

Americké úřady stojí v čele vlád, které požadují od firmy Google stále častěji, aby odstranila určité texty z internetu a aby vládám předala informace o lidech, kteří používají její vyhledávače, servery YouTube a další služby.

"Je to znepokojující, nikoliv jen proto, že to ohrožuje svobodu projevu, ale protože některé tyto žádosti pocházejí ze zemí, od nichž byste to neočekávali - od západních demokracií, které nejsou typicky spojovány s cenzurou," uvedla Dorothy Chou, čelná analytička firmy Google.

[anonym]

cenzuru tohoto druhu

A co jiné druhy cenzury, jako podvrhávání DNS na rekurzorech, nebo zařezávání spojení na firewallech či RST útoky? Což jsou věci, které se dějí v Evropě a v USA. Ty jsou v pořádku?

[Foo Bar]

To nikdo netvrdí, ale ani se to nesnaží standardizovat (každopádně se věnuji pouze DNS, takže taky nevím o všem, co se kde šustne).

Podvrhávání DNS na rekurzorech je řešitelné lokální validací DNSSECu na klientech, kam se pomalu ale jistě přesunuje.

Stejně tak trochu pomůže DANE, který teď konečně prošel i skrz IESG a je na cestě se stát plným internetovým standardem.

BTW... prosím příště trochu omezte demagogii... "Mám rád jabka" ... "Takže podle vás jsou hrušky a třešně hnusné?"

[pavlix]

Podvrhávání DNS na rekurzorech je řešitelné lokální validací DNSSECu na klientech, kam se pomalu ale jistě přesunuje.

A kde mělo od začátku být. Na Fedoře 17 už to umíme...

yum install dnssec-trigger

Jenom pozor na to, se spoustou věcí to není kompatibilní (naposled mi to rozbilo VPN).

[imploder]

Jenom pozor na to, se spoustou věcí to není kompatibilní (naposled mi to rozbilo VPN).

Takže to zatím v podstatě nefunguje.

[tsLnox]

Já se jmenuju Japepa a mám moc rád jabka!

[Foo Bar]

Já se jmenuju Japepa a mám moc rád jabka!

Takže podle vás jsou hrušky a třešně hnusné? :)