Kořenová zóna na serveru L.Root-Servers.Net byla podepsána (diskuse)

[JohnnyDoe]

Eh? Teda to se mi dlouho nestalo, abych ani trošku netušil, o čem je nějaká zprávička .

[Xerces]

To bude něco s tím DNSSEC tipuju.

[Xerces]

Tak jsem si prošel ten blog a říkám si jestli by nebylo lepší naučit prostý lid na IP adresy a všechny ty DNS zrušit. Jinak řečeno: Tyhle aféry každého jenom otravují, já bych všechny ty DNS zakázala. Věra Pohlová, důchodkyně 76 let.

[Prcek]

Lidi, přidávejte tý důchodkyni nějaký léta, jinak nás tu bude strašit do konce věčnosti . V roce 1999 jí podle všeho bylo 72 .

[Prcek]

Podle toho CZ.NIC jsem si to domyslel, ale výraz kořenová zóna jsem nikdy neslyšel, taky to pro mě je španělská vesnice .

[Wolphram Alpha]

jde o top level domenu, viz. treba tady (je to tam az uplne na konci)

[Stanislav Petr]

Korenova zona a TLD neni jedno a to same. Korenova zona obsahuje TLD. TLD je napriklad "cz." nebo "com." kdezto korenova zona je ".".

[neelx]

? Kde je tady to klikátko: "To se mi líbí!"

[Peter H.]

Našťastie nikde.

[MaSo]

Tady nejsi na facebooku

[Stanislav Petr]

Nasazovani DNSSEC jde pomalu, ale jde...

[Zdenek]

Ano je to chvalyhodne, ale co me nejvic mrzi je jisty FUD ze strany CZ.NIC. Cele DNSSEC je zatim normalnim uzivatelum k nicemu a chrani velky kulovy. Kdyz potom ctu zpravicky kdy CZ.NIC tvrdi, ze jaka si banka je ted bezpecna, protoze pouziva DNSSEC a klienti muzou klidne spat, tak mi zustava rozum stat.

[Stanislav Petr]

Pokud nekdo modifikuje DNS zaznam, tak Vam je cely HTTPS na h.... DNSSEC ma svuj vyznam.

[Luboš Doležel (Doli)]

To pochybuju. Důvěryhodné certifikační autority přece nemůžou vydat ceritifikát někomu, kdo není vlastníkem domény.

[trekker.dk]

No vidíš, můžou. Alespoň pokud za důvěryhodné považuješ ty, které považuje za důvěryhodné většina prohlížečů, pak ano, můžou.

[Ladicek]

mozilla.com?

[trekker.dk]

Mám pocit, že RapidSSL například.

[Ladicek]

Měl jsem na mysli ten klasický případ s vydáním certifikátu pro mozilla.com bez ověření. Vždycky si na to vzpomenu, když se mluví o důvěryhodnosti při vydávání certifikátů

[Stanislav Petr]

Tak si za domaci ukol nastudujte rozdil mezi SSL a EV SLL certifikatem...

[Zdenek]

Pokud nekdo modifikuje/podvrhne DNS zaznam, tak HTTPS me dnes ochrani (tim ze ten nekdo nebude mit spravny certifikat), narozdil od DNSSEC.

[Foo Bar]

Ale no tak... Dám vám dvě hádanky:

Kolik procent BFU vůbec zná rozdíl mezi http:// a https:// adresou a všimne si toho, když spojení není zabezpečené? A kolik procent BFU odklikne v prohlížeči, že chce pokračovat, i když je certifikát self-signed?

[thingie]

S takovou můžeme odepsat každé zabezpečení.

[Zdenek]

Na hadanky znam odpovedi pomerne bezpecne, ovsem ja psal o sobe a ne o BFU. Kdybych si zapnul resolver tak, aby zahazoval nepodepsane domeny tak z dnesniho internetu prakticky nic neuvidim. Pochopte ja nehanim technologii, ale pristup lidi z CZ.NIC. DNSSEC jako vize databaze bezpecnych informaci nezavislych na nejake centralni autorite je skvela a tesim se az opravdu budu moct ten resolver tak nastavit, ale treba prohlaseni Vilema Sladka ohledne Hypotecni banky mi teda radost nedelaji. Posledni veta proste dnes neni pravdiva.

[petr_p]

Tak schválně – kdy Mozilla ve výchozí konfiguraci zruší tlačítko na pokračování v neověřeném TLS spojení :)

[Filip Jirsák]

V prohlížečích novějších než MSIE 6 není možné zabezpečené spojení přehlédnout. A odkliknutí self-signed certifikátu není třeba ve Firefoxu nijak jednoduché (zase teda když už si ho odkliknete, tak navždy, protože pro jednorázové použití je potřeba extra kliknout navíc), pokud to teda ještě vůbec jde – přes některé certifikáty, když se Firefoxu nelíbí, se na web nedostanete už vůbec, a nezbývá, než použít jiný prohlížeč.

Stejně jako se může do prohlížeče dostat kořenový certifikát nějaké nedůvěryhodné autority, může se i vlastník DNS zóny chovat nedůvěryhodně (a privátní klíče od zóny může mít kde kdo, případně může kde komu umožnit manipulaci s obsahem zóny apod.). Takže záleží na tom, co která technologie umožňuje ochránit a jak se v praxi používá. Pro HTTP je HTTPS lepší zabezpečení (DNSSEC je podmnožina toho, co umí zabezpečit HTTPS), další protokoly „over-SSL“ si také poradí sami, ale třeba takovému SPF už DNSSEC pomůže, protože tam není jak jinak podepsat, než v DNS. A trochu pomůže i obyčejnému HTTP (ovšem ne cíleným útokům), protože DNS si můžete podepsat zadarmo, HTTPS certifikát musíte platit.