Dotaz: DNS zone transfer

[vdusek]

Ahoj,

běžně se doporučuje povolit zone transfer pouze mezi DNS servery. Jaké nebezpečí hrozí, pokud je zone transfer povolen "do celého světa"?

Napadá mne jedině to, že se útočník snadno dostane k mým DNS záznamům. Ale k nim se dostane i jinak, jen mu to bude chvíli trvat.

Díky

Odpovědi

[Jiří Veselský]

Volně povolený DNS transfer je všeobecně považován za bezpečnostní riziko. Míra závažnosti samozřejmě závisí na konkrétní situaci - pokud máte v rámci doména.cz definován pouze A záznam pro www.doména.cz a MX záznam pro doména.cz, skutečně nemáte co tajit. Můžete ale také provozovat hromadu CNAME záznamů, které třeba nechcete moc zveřejňovat. Je to na vašem posouzení.

Zdravý rozum by vám ale měl velet, že 1) nikdo plný transfer nepotřebuje, a že tedy 2) ho nikomu povolovat nebudu. Všeobecně platí takové to "nepotřebuješ vědět".

[Michal Kubeček]

Nebezpečí nehrozí víceméně žádné. Jde jen o to, že jednak ty transfery mohou generovat zbytečně moc provozu, jednak tím útočník nebo jiný otrapa získá zadarmo seznam adres, na které se může zkusit zaměřit, aniž by musel scanovat celé rozsahy.

[vdusek]

Děkuji všem za názory.