Telefónica oznámila zavedení DNSSEC do svých systémů

Společnost Telefónica Czech Republic dnes oficiálně oznámila zavedení DNSSEC do svých sítí. Tuto bezpečnostní technologii tak už mohou využívat jak majitelé mobilních telefonů v síti O2, tak i klienti připojení prostřednictvím ADSL či pevných linek.

„V současnosti chrání tato technologie více než 172 tisíc domén s koncovkou .CZ, což je více než 19 procent z celkového počtu zaregistrovaných domén. Zavedení technologie DNSSEC v síti společnosti Telefónica pomůže zvýšit bezpečnost zákazníků tohoto největšího poskytovatele připojení k internetu v této zemi. Velice oceňuji práci technického týmu, který velmi rychle DNSSEC nasadil pro všechny různé typy připojení,“ říká Ondřej Filip, výkonný ředitel sdružení CZ.NIC.

Uživatelé internetových služeb Telefónica Czech Republic se o zabezpečení DNSSEC mohou přesvědčit dvěma způsoby. Na stránkách www.dnssec.cz je k dispozici automatický test, který zobrazením zelené nebo červené ikony klíče uživatelům ukáže, zda jejich připojení je, resp. není bezpečné. Druhou možnost nabízí doplněk pro prohlížeč Firefox, který lze stáhnout zdarma ze stránek www.dnssec-validator.cz. Ten umožňuje kontrolovat, zda je či není aktuálně navštívená doména chráněná, a to opět zobrazením ikony klíče, tentokrát přímo v adresním řádku okna prohlížeče.

16.12.2011 13:23 | Vilem Sladek | Upozornění

Komentáře

[Nicky726]

Jenom abych si to ujasnil, aby to fungovalo, musí mít člověk nastavené O2 DNS, které cenzuruje internet, je to tak?

[Filip Jirsák]

Myslím, že to nejde dohromady. Pomocí DNSSEC by přece mělo jít upravení DNS odpovědi nebo zamlčení domény odhalit.

[multi]

cenzura me taky hnedka napadla, ale osobne cekal, ze takove odpovedi musi byt vyhodnoceny jako spatne, ne?

[j]

Oddelte dve veci.

a) dnssec na dns serveru ktery je primarnim/sekundarnim serverem X domen. To je vporadku, pokud dostanete odpoved od takoveho serveru (nebo odpoved jim podepsanou), muzete si overit, ze ta odpoved nebyla cestou zmenena. K tomu ovsem potrebujete !!!vlastni!!! dns resolver (neboli vlastni dns server).

b) dnssec na resolveru - tedy na tom, ceho se ptaji klienti, ale co samo o sobe zadne domeny neobsahuje (muze, ale nemusi). Tady nastava zasadni problem. Tomuto musite na 100% verit, protoze to je to cosi, co vam ve finale bud zdeli sladke tajemstvi (tedy IP adresu ktera se vaze k vybrane domene) nebo vam nesdeli NIC (pokud odpoved neodpovida = neni spravne podepsana). Jenze uplne stejne vam nemusi vratit NIC i v pripade, ze domena je podepsana korektne, pripadne vam klido muze vratit uplne cokoli jineho. Klient neni schopen (bez vlastniho DNS) zjistit skutecny stav veci.

Jedina spravna cesta je, ze dns preda vzdy i "podvrzene" odpovedi a je na klientovi jak snimi nalozi (samo napriklad ve firemnim prostredi staci dns provozovany firmou).

[Filip Jirsák]

Nevidím důvod, proč bych DNS resolveru musel věřit – proč bych jeho odpověď nemohl zvalidovat úplně stejně, jako to udělám s odpovědí autoritativního serveru?

[David Jaša]

Standardní dnešní chování je to, že resolvery v SOHO sítích si nechávají odpovědi od DNS serverů svých ISP. Pokud se tento přístup extrapoluje do světa DNSSEC, znamenalo by to nechat si ověřovat validitu serverem ISP a bezmezně mu věřit, že si hodnotu AD bitu nevymyslel.

Bezpečné DNS pak znamená mít rekurzivní resolver nejdále na domácí bráně (pro stabilní zařízení) a přímo na všech mobilních klientech.

[pavlix]

Přesně tak, bez toho je to jedna velká lež. Ale podle mě je správnou cestou validace v koncových zařízeních kvůli případným útokům na lokální síť (samozřejmě to řeší jen část problému, ale tak to je v této oblasti vždy).

[pavlix]

Ona ta současná řešení DNSSECu jsou obvykle postavené tak, aby ta cenzura byla možná, tedy že věříte odpovědi nameserveru ISP. Takže je to spíš jeden velký podvod.

Jediný DNSSEC, který jakž takž uznávám, je ten, kdy kontrolující server je součástí infrastruktury zákazníka (například na localhostu přímo v telefonu).

Ani tak není DNSSEC kvůli své centralizaci všespásný, ale s kontrolou „na konci“ je to pořád o několik řádů lepší než současná kontrola pomocí rovnocenných certifikačních autorit.

[SAM:]

Kdyby tak oznámila zavedení IPv6.

[cita]

no to si pockame, polovicka jejich klicoveho hw ipv6 neumi : O

[linux]

odkud máš tuto informaci?

[pavlix]

Anonymní zdroj? :)

[pavlix]

Kdyby tak oznámila zavedení IPv6.

Všechno má svůj čas :). A pokud vím, tak někdy v roce 2010 stihli splašit ještě nějaký větší rozsah do rezervy.

[K]

Stejne nevim co z toho delate, dalsi PR masaz pro lamy co jineho. :/