Vláda schválila povinnost zavedení DNSSEC a rozšířila podporu IPv6

Vláda na svém včerejším zasedání přijala usnesení (bod 31), podle kterého musí do 30. června 2015 orgány veřejné správy zabezpečit všechny jimi držené domény technologií DNSSEC. Tato povinnost se bude vztahovat rovněž na všechny webové prezentace financované ze strukturálních fondů v novém programovém období 2014+. Tyto prezentace budou muset také podporovat IPv6, dochází tedy k rozšíření podpory IPv6 rovněž na vybrané prezentace soukromého sektoru.

V případě DNSSEC se Česká republika stala pravděpodobně první zemí na světě, která se rozhodla pro povinné zabezpečení všech domén veřejné správy.

19.12.2013 10:19 | Vilem Sladek | Upozornění

Komentáře

[hjkgkjhg]

Sou to prece zli komunisti, tydle pozitivni zpravy tady radsi vubec nepostujte, jeste to by to nekomu mohlo zkazit slozite vystaveny svetonazor

[boar]

to jsem zvedav, kolik to bude stat, a kdo se na tom napakuje.

[kolcon]

idealni by bylo nejake proprietarni reseni od 602. organizace Svazarmu...

[danysek]

Doposud neni ani naplneno usneseni vlady 727/2009 tykajici se IPv6, prestoze by uz par let byt melo... je zajimave, ze se nad tim nikdo nepozastavuje :) Takze hadam, ze to dopadne stejne...

[jj]

Ano, chtěl jsem se o tom zmínit. Požadavek na podporu IPv6 podepsala už Fischerova vláda a podle zběžného průzkumu ji dva roky po deadlinu podporovala sotva polovina webů, kterým to bylo uloženo...

[Petr Ježek]

Kdo se diví, když nasyslené IPv4 adresy nejen že stačí doposud, ale hlavně nikdo nechtěl kupovat nová IPv6 kompatibilní síťová zařízení namísto těch starších stále dobře funkčních. Ostatně lidi od Drayteku sami tuhle dobu perfektně charakterizovali jako "když to umíte se bezpečně starým, proč pořizovat v krizi nové?"

[melkors]

Ted je k dispozici klacek: Bud bude IPv6 a DNSSEC nebo nebudou penize

[Petr Tomášek]

Kdyby radši vláda dělala něco pořádného a neztrácela čas takovýma zmetkama jako je IPv6

[Jendа]

Co je na IPv6 zmetkovitého a jak bys to řešil lépe?

[Jardík]

DNSSEC je jen podraz na ovčany, aby se cítili více bezpečně. Je to stejně nebezpečné, jako obyčejné DNS, stejně nebezpečné jako SSL/TLS. Proč? Třeba z wiki:

DNSSEC works by digitally signing records for DNS lookup using public-key cryptography. The correct DNSKEY record is authenticated via a chain of trust, starting with a set of verified public keys for the DNS root zone which is the trusted third party.

A DNS root:

The US Department of Commerce NTIA exercises the ultimate authority over the DNS root zone of the Internet.

Dokud bude večkerá moc měnit a přidělovat domény v rukous US, nedá se tomu věřit, ať už je tam nějakej certifikát, nebo ne. Aby DNSSEC mohl správně fungovat, musel by každý mít doma vlastní bezpečnou databázu s vlastním DNS.

Na druhou stranu nic mi nezakazuje mít vlastní root DNS. Já prohlašuji, že mám absolutní autoritu kořenové zóny DNS, já přiděluji domény prvního řádu. Kdo chce, může si u mě zaregistrovat doménu třeba i .gay, rád mu ji věnuju. A je to zdarma!

[potato]

Ťřebaže nemám nic proti tomu, co pak věcně píšeš, nebylo by od věci podívat se do slovníku na význam slova stejně. Útok vedný americkými trojpísmemmnými agenturami není jediný threat model, který je zapotřebí brát v úvahu.

[Jardík]

Slovo stejně má takový význam, jaký mu dám v kontextu své věty, která je mým autorským dílem. Žádné slovníky neuznávám, lžou vám tam a vnucují vám tam své pravdy nepravdy.

[kolcon]

Jardiku pozor, jeste 2 slova a prispevek by mel 32 slov, tj. by z nej byla 32bitova smejdarna!

(P.S. definici bitu z nejakeho slovniku neuznavam)

[potato]

Aha, takže když píšeš bláboly, tak ony to jsou ve skutečnosti rozumné věci, akorát nepoužíváš slova v jejich obvyklých významech. Takže děkuji za velmi poučný příspěvek o šlechtění špenátu v období první republiky, bolívijské literatuře magického realismu, mytologii vesnických fotbalových týmů, nebo o čem to vlastně bylo...

[Jardík]

Pokud zapátráš, tak zjistíš, že lidé otupěli. Museli si pojmenovat každou věc extra slovem, aby si rozuměli. Při tom zapomněli, že důležitá nejsou slova, ale význam jejich sdělení, co je důležité. Chytají se pak každé "chybičky", což vlastně není nic jiného než odlišnost od jakéhosi pravidla určeného ňákým nadčlověkem, kterým vám už od školky vymívají mozky, abyste se naučili pošlusnosti nadlidem a běda, jak jim budete oponovat.

[Jardík]

Jinak k tématu, pokud mi někdo chce vysvětlit, proč je DNSSEC "bezpečnější" než obyčejný DNS, tak se rád poučím. Z toho, co jsem se zadím dozvěděl, žádné zabezpečení nepřináší, jen větší pocit bezpečnosti, přesvědčí vás, že s DNSSEC je vše bezpečné, aby vás pak mohli nachytat, když nedáváte pozor. Příklad budiž ... nějaká vláda USA se rozhodne zabavit (čti ukradnout) doménu "obamaisterrorist.com" (podobnost s Obamovým jménem je čistě náhodná a nemusí odpovídat zkutečnosti). Jak mě DNSSEC ochrání před tímto ukradením domény, když mu vlastně ICANN (nebo jak se to píše) cucá z prstu, musí poslouchat TAJNÉ příkazy TAJNÉHO soudu a podřizovat se TAJNÝM americkým zákonům, jež vydal TAJNÝ soud v TAJNÉM rozhodnutí. Co jim zabrání pak poslat odpověď s nějakým mým podpisem, že je daný DNS záznam v pořádku? ... Nic. Žádná bezpečnost navíc. Navíc je to další zbytečná vrstva, absolutně toho samého (čti mizerného) zabezpečení dosáhnete použitím TLS. Možná dokonce i lepšího, protože podstrčený veřejný certifikát někým, kdo danou doménu ukradl může být k ničemu, když nemají soukromý pro dašifrování vaší zprávy. Samozřejmě, že soukromý certifikát US vláda může od US společností dostat snadno během TAJNÉHO rozhodnutí TAJNÉHO soudu (viz např. nedávný případ tý mailový služby, jak musel předat soukromý klíč a nakonec to udělal, takže si NSA mohla zpětně rozšifrovat všechnu uloženou komunikaci).

[pavlix]

Pokud jsi do teď nepochopil žádnou z bezpečnostních vlastností DNSSEC, tak to nejspíš znamená, že ji pochopit nechceš. Tím, neříkám, že kritika technologie nebo jejího použití není na místě, ale to by se muselo jednat o informovanou kritiku, ne o plané kecy.

[Petr Ježek]

No, plané kecy by byly, kdyby se právěm nezpochybňovala autorita, na níž a její libovůli celé DNSSEC stojí a padá. Namísto atomizace se tu vesele centralizuje, aniž kdo z bezpečnostnch expertů hne brvou. Každý sebechráněnější hrad bylo možné dobýt ať již silou nebo zradou (resp. cizí politikou) zevnitř... Je po o principech, milý kolego, technologie to jen celé zamlžuje...

[pavlix]

No, plané kecy by byly, kdyby se právěm nezpochybňovala autorita, na níž a její libovůli celé DNSSEC stojí a padá.

To je tak, když se do hodnocení techonologie pouští někdo, kdo si o ní nezjistí ani ty nejzákladnější informace a pak vykřikuje v diskuzích na čem stojí a padá.

[Martin Mareš]

Mno, předvším bych doporučil si přečíst, jak DNSSEC doopravdy funguje :) Ne řeči z třetí ruky, ale skutečný standard.

[pavlix]

Já nevidím problém v tom, aby softwarové distribuce obsahovaly i další klíče na přísnější zabezpečení například národních domén. Na úrovni organizací je samozřejmě vhodné přidat i zabezpečení těch samotných organizací.

Bylo by docela fajn odlišovat míru zabezpečení dle toho, zda ověřujeme podle méně důvěryhodného kořene nebo více důvěryhodné vlastní organizační domény. Samozřejmě je potřeba řešit interní distribuci a obnovu klíčů jako se to děje s DNSSECem.

Samotná technologie nemusí být nutně špatná, záleží na tom, jak se použije a jaké bezpečnostní důsledky se z toho vyvodí.

[Jardík]

BTW jak se uvádí na wiki, celá komunikace je nezašifrovaná a tak je náchylná k MITM útoku. Pokud jsem informován o něčem špatně, rád se poučím.

[Jardík]

Jinak je mi vcelku jedno, ať si to používá, kdo chce, ale právě v tom nařízení vlády, že se prostě musí nasadit, a že musí být IPv6, to je jen byrokracie, aby se někdo mohl přiživit. Na co nasazovat zbytečně IPv6? Ano, pochopím na nových serverech, protože není nová IPv4, ale na starých? Přece stávající IPv4 adresu jim nikdo neukradne (i když dneska je možný vše), tak si mohou nadále používat IPv4 adresu.

[SPM]

A to ti nevadí, že IPv4 je 32bitová šmejďárna? ;)

[j]

Zeby proto, ze klient jaksi IPv4 adresu nedostane stejne jako ten srv => na IPv4 srv se jaksi nepodiva? Jiste, muzeme mit vsude desitinasobnej NAT ... mozna to cas od casu i bude par vterin fungovat.

[Jardík]

Proč? Při "resolvování" domény prostě dostanu buď IPv4 nebo IPv6 (popř. obě), podle toho vytvořím socket a jedu.

[SPM]

Protože na svém IPv6 only PC dostaneš jen IPv4 adresu a pak seš bez NATů, tunelů a kdovíčeho nahranej.

[pavlix]

Tak se uč. Nevím, kterou wiki máš namysli. Ale až budeš mít základní povědomí a budeš schopný rozlišovat útoky na ty, pro které DNSSEC představuje zábranu, komplikaci, nic, podporu nebo umožnění, tak se o tom můžeme dál bavit.

[j]

Zatim je to ve stadiu, ze DNSSEC je uzasnej nastroj pro vygenerovani DOSu. To je tak vsechno.

[pavlix]

Nějak mi chybí ve tvém komentáři ta informace, kterou jsi chtěl asi sdělit.

[Jardík]

Mně pořád chybí ta informace, jak DNSSEC zabrání americké vládě vydat TAJNÝ soudní příkaz k TAJNÉMU přesměrování domény na jinou IP adresu s tím, že ten DNS root mi prostě k tomu hodí platný podpis, který by měl, kdyby nebyl přesměrován. Je to nějaká americká společnost, a podléhá americkým totalitním zákonům, kdy je možné vydávat tajné zákony, tajným soudem, tajným nařízením a tyto tajné zákony a příkazy se musí tajně respektovat a nelze proti nim bojovat, protože defacto nesmíte ani soudci říct, proti čemu bojujete, protože je to tajné.

[SPM]

Asi tak, jako zámek na dveřích auta zabrání odtahovce to auto odtáhnout. Prostě DNSSEC řeší něco jiného, než ty po tom chceš.

[ewew]

Vypracuj iný systém prekladu doménových mien a hierarchiu domén.

[Jardík]

No prostě se stanu registrátorem domén prvního řádu. Momentálně mám k volnou doménu .gay, nějaký zájemce?

[Jardík]

BTW jaký zákon mi zakazuje být registrátorem domén? Můžu si tu pustit vlastní DNS server a prodávat domény prvního řádu?

[ewew]

Podrobne som to neskúmal ale musíš mať akreditáciu ICANN. Môžeš si to vyhladať, ak ťa to zaujíma.

[pavlix]

To aby žalovali správce domény .czf ;).

[Jardík]

Který český zákon mi nařizuje mít akreditaci ICANNu k provozování vlastního DNS serveru, kde budu (třeba zdarma) dávat domény prvního řádu jako .gay, .us, .cz, ... nezávisle na tom, jaký prodává ICANN či kdo. Prostě konkurenca ne?

[bigBRAMBOR]

To je zajimavej napad, vznikl by DNS paralelni internet. Pokud by se to hodne rozsirilo, muselo by se to zacit nejak globalne resit. Jdeme do toho?

[pavlix]

Doporučuju začít zde.

[Luk]

Myslím, že by to dopadlo velmi podobně jako třeba Diaspora*.

[Jendа]

.onion

[pavlix]

A jak si ten útok představuješ. Jako cílený útok na rekurzivní nameserver toho, koho chceš přesměrovat? Tedy podstrčit postupně všechny úrovně DNS stromu?

Tomu můžeš s pomocí DNSSEC v celku triviálně zabránit tím, že si od pro tebe důležitých subjektů necháš ověřit jejich veřejné klíče a svážeš je s jejich zónami. Pro ty konkrétní zóny tě pak root klíč nezajímá.

Toť teorie. V praxi ten útok bude pravděpodobně probíhat tak, že ti nepomůže ani svěcená voda ;).

[Petr Ježek]

Ten root key je pozoruhodný tím, že existuje pro daný účel jako jediný autorizovaný v gesci jediné autority (to je kodifikace nástrojů). Obecně lze autoritu zpochybnit (umožňuje-li to právo) třeba tím alternativním root klíčem, ale opět jde jen o konkrétní generování jediné (!) ověřovací rutiny. Přitom zde máme rostoucí asynchronní prostředí s nárůstem podílu mobilních zařízení a zařízení v cizí správě či majetku na smluvní bázi. Odtud je snad patrné, proč je celá koncepce DNS včetně DNSSEC postavená na písku navzdory zdání, že základy jsou rockstable... Takže nejen svěcená voda je poněkud naivní metodou obrany před překonáním DNSSEC... Lidi, začněte, prosím, uvažovat nezávisle na zvykové košili a reapektujte to, že se nám situace mění pod rukama stále rychleji na to, abychom to mohli ignorovat.

[pavlix]

Pravděpodobně jsi si spletl příspěvek, na který reaguješ.

[Martin Mareš]

Mně pořád chybí ta informace, jak DNSSEC zabrání americké vládě vydat TAJNÝ soudní příkaz k TAJNÉMU přesměrování domény na jinou IP adresu s tím, že ten DNS root mi prostě k tomu hodí platný podpis, který by měl, kdyby nebyl přesměrován.

Ehm, DNS root především záznamy v doméně (řekněme) CZ nepodepisuje. Podepisuje pouze delegaci domény CZ na konkrétní nameservery spolu s klíči používanými těmito nameservery. Čili jediné, co by root mohl udělat, by bylo najednou doménu delegovat někam jinam (nebo případně na dotaz odpovědět přímo bez delegace) a na to by se setsakramentsky rychle přišlo.

Jinak samozřejmě není nutné u všech domén spoléhat na jejich podepsanou delegaci z rootu, pokud vám u některé obzvlášť záleží na bezpečnosti, můžete svůj nameserver nakrmit podpisy z nezávislého zdroje (viz trust anchors).

Jak už jsem psal výše, važně by bylo lepší, kdybyste si nejdřív pořádně přečetl, jak DNSSEC funguje. Ale chápu, že RFCčka jsou trochu nudnější čtení než konspirační teorie ;)

[trekker.dk]

na to by se setsakramentsky rychle přišlo

Jak? Root začne odpovídat bez delegace a nový cíl bude požadavky přeposílat na správný server (aby uživatelé nic nepoznali.) Služby fungují, kde se vezme ten podnět zkoumat DNS?

[Martin Mareš]

Zrovna v tomto případě by si toho rychle všiml provozovatel serveru, protože by mu všechny požadavky začaly chodit z jedné IP adresy :)

Ale jinak myslím nejsem jediný, kdo trochu podrobněji sleduje DNSkový provoz ve svých sítích, včetně analýzy toho, kdo na který dotaz odpovídá.

[Šangala]

Furt DNSSEC zde na abíčku a co abíčko a DNSSEC?