DNSSEC v ČR - odpovídal Ondřej Surý, technický ředitel CZ.NIC (diskuse)

[Lukáš Zapletal]

Velmi zajímavé. Kéž by byl nějaký lék také na spam...

[Foo Bar]

Bohužel, jak se ukazuje, tak nejprogresivnější v zavádění nových antispamových technologií jsou... spameři ;). Viz. SPF záznamy apod.

[Ondar]

Tak tady bych se dost ohradil. SPF jsou nahodou dost dobrou pomuckou v boji proti Spamu - je to neco co tu uz davno chybelo. Muj osobni nazor je takovy, ze to pomuze o dost vice nez DKIM a spol.

[bubla]

Neočekáváme žádný dramatický nárůst objemu přenesených dat. Datové soubory se zvětší přibližně 8 až 10krát

Tohle se mi zdá být spor, nemůže to někdo okomentovat?

[Mirek]

No jo v CZ.NIC nejsou žádný Bčka 10x násobný nárůst je zanedbatelný. Teda jestli je to tak, tak klobouk dolů před jejich dimenzováním.

[Zdenek]

Mno staci se kouknout na velikost zonovych souboru. Jo kdyby takovy Google zaclo na youtube vsechny videa streamovat v HD tak to je neco jinyho

[Foo Bar]

Správná připomínka... Jen pro informaci můžu předhodit nějaká čísla:

cz: ~40MB

cz.signed: ~180MB

dnssec.cz: 516 B

dnssec.cz.signed: 5918 B

Hodně záleží na tom, jaká data podepisujete. Vzhledem k tomu, že NS and glue záznamy se v DNSSECu nepodepisují, tak je nárůst u .cz způsobený hlavně NSEC záznamy a příslušnými RRSIG podpisy k nim.

[Foo Bar]

Zdravím,

nárůst datových souborů úplně přesně nekoreluje s nárůstem datového provozu. Nárůst datového provozu je v zásadě výrazně menší, jednak z důvodů, že nárůst DNS paketů není tak výrazný, a za druhé se na DNSSEC neptají úplně všichni - jen asi 60% DNS serverů má v DNS query nastavený DO (DNSSEC OK) bit. O nějaký násobek datový provoz po podepsání .cz vzrostl, ale rozhodně to není 10x, spíš něco jako 2x až 3x.

O.

[Mirek]

Dobrý článek na aktuální téma, ale nějak tomu pořád nemůžu nebo nechci porozumět v čem je ten problém. Nemáte někdo odkaz na opravdu polopatické vysvětlení? Třeba já mám na svým počítači spuštěnou dnscache, která předpokládám veškeré požadavky na resolv řeší (pokud už je nemá uložené) přes kořenové servery směrem dolů. Pokud někdo napadne nějaký DNS server, například kořenový, tak moc nevěřím tomu, že nějaké podepisování pomůže.

[Mirek]

Jsem to ale ... už jsem našel v odkazech pěkný popis problému http://www.nic.cz/dnssec/, dokonce s obrázkem!

[Ondar]

Podle tohohle je oblíbenost DNSSEC vskutku minimální, a to i přesto, že tento standard tu už nějakou dobu je. Má to cenu?

[Foo Bar]

Statistiky jsou takové, jaké si je uděláte.

S DNSSECem je to zároveň také o tom, že pokud neexistuje hierarchie důvěry, tak nemá moc smysl podepisovat individuální domény. Zároveň platí to, že je potřeba zvážit, jaký by byl dopad podvržení DNS odpovědi pro konkrétní doménu. Svůj soukromý blog asi podepisovat nebudu, protože na něm neleží nic důležitého a když někdo přesměruje traffic na nějaký jiný server s falešným obsahem, kde o mě napíše, že mám rád držkovou polévku, kterou ve skutečnosti nesnáším, tak se nic moc zvláštního nestane.

Na druhou stranu, přesměrování platební brány ČS nebo MUZO, je o trochu něčem jiném, že?

O. P.S.: Randomizace portů nepomůže, fakt ne...

[Dušan Hokův]

Kdy doplnite DNSSEC HOWTO na vasem webu? Treba uz druha kapitola je prazdna.

Diky za odpoved

[Foo Bar]

Díky za upozornění. Zkontroluji to oproti originálu a doplníme to tam, co nejdříve.

[Ondrej]

Dobrý den,

jaké jsou podmínky pro použití DNSSEC? V současnosti připravuji DNS server, který bude spravovat domény moje a mojich klientů a rád bych DNSSEC použil, ovšem nemám moc informací co se týče podmínek. Nevíte o nějakém dokumentu, kde bych to mohl nastudovat?