Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSEC, opennews (??), 31-Янв-24, (0) [смотреть все] А в чем ошибка была, собственно , Аноним (1), 11:33 , 31-Янв-24, (1) –2 // Записи в зоне RU другим ключом подписали, не тем, что указан в записи DNSKEY Он, Аноним (9), 11:44 , 31-Янв-24, (9) +15 // А почему давно не запилили, DNS разве не на СПО зиждится , Аноним (28), 11:58 , 31-Янв-24, (28) –8 // Причем тут СПО и зачем что-то пилить Косплеить корневой сервер можно хоть на MS , Ананий (?), 13:10 , 31-Янв-24, (77) +2 Похоже, у них там свой набор верхних корневых днс-серверов Его ключом и подписа, Аноним (36), 12:15 , 31-Янв-24, (36) –5 // Скрыто модератором, Бывалый смузихлёб (?), 12:28 , 31-Янв-24, (42) +7 Скрыто модератором, Аноним (51), 12:39 , 31-Янв-24, (51) +1 А какой смысл использовать разные ключи , Аноним (37), 12:15 , 31-Янв-24, (37) НСДИ они тоже положили Но поскольку это кого надо НСДИ, там быстренько почистил, нах. (?), 12:44 , 31-Янв-24, (52) +2 // Наверное больше потому, что от НСДИ почти никто из потребительского сегмента пок, Аноним (54), 12:49 , 31-Янв-24, (54) +1 Еще как уже зависят Просто тебе об этом не доложат Просто поскольку он сам себе, нах. (?), 12:52 , 31-Янв-24, (55) +2 Докладываю ни один провайдер долго не проработает, если его днс-серверы не буду, San (??), 13:24 , 31-Янв-24, (85) +1 А чего тут тогда все у всех навернулось Они ж там всепачинили через пять минут , нах. (?), 13:27 , 31-Янв-24, (86) +1 Есть разные схемы подключения к НСДИ , Ivan_83 (ok), 14:38 , 31-Янв-24, (122) Быстренько Да он минут 20 косплеил под всех отвечая на всё SRVFAIL А потом там, Аноним (154), 15:08 , 31-Янв-24, (154) +3 может железке по середке не установили новый ключ , Sw00p aka Jerom (?), 15:08 , 31-Янв-24, (153) Здесь все намного проще Перед выборами шaтaют не только интернет, но и сотовую , Bonjovi (?), 12:20 , 31-Янв-24, (39) –6 // 4ебурнет на завершающей стадии, Аноним (215), 21:14 , 31-Янв-24, (215) –5 ЯПОЭЗ https sockpuppet org blog 2015 01 15 against-dnssec , Аноним (2), 11:34 , 31-Янв-24, (2) +1 // 1DNSSec для конечных потребителей устарел с тех пор как гугл всех на https натя, Ivan_83 (ok), 12:53 , 31-Янв-24, (57) –1 // DNSSec - это защита от недобросовестности Гугла, не , Аноним (63), 12:56 , 31-Янв-24, (63) –3 // Нет Это когда то ходили байки что можно отравить кеш резолвера посылая ему посто, Ivan_83 (ok), 13:08 , 31-Янв-24, (75) +2 да он и раньше-то нахрен был не нужен Очередная диверсия от профессоров далеких, нах. (?), 13:30 , 31-Янв-24, (88) –1 // Я не дебажил Перезапустил пару раз unbound ради интереса, надеялся что отвалится, Ivan_83 (ok), 13:37 , 31-Янв-24, (94) +1 а там на диске нет кэша gtld там вопрос в том чтоб тебе glue records отдал - , нах. (?), 14:48 , 31-Янв-24, (136) На диске вроде никаких кешей нет, только рутовые сервера и может их ключи DNSSec, Ivan_83 (ok), 15:21 , 31-Янв-24, (159) Ну да выходит валидатор выключил и не увидел возможной подмены днс, в то время к, fuggy (ok), 19:28 , 31-Янв-24, (202) +1 Покажите мне успешные атаки на отравление кеша, тогда будет иметь смысл продолжа, Ivan_83 (ok), 19:57 , 31-Янв-24, (208) Твоя безопасность - это твое дело Никто не должен тебе ничего доказывать , Sem (??), 18:40 , 01-Фев-24, (244) Ну не скажите Допустим у Вас очень большое количество пользователей ведут перепи, suffix (ok), 16:55 , 01-Фев-24, (243) +1 // Бывает Не бывает У всех пользователей уже стоит Outlook, в котором шифрование е, Аноним (255), 20:06 , 01-Фев-24, (255) Свидетельство канарейки Да уж можно и не включать Наверняка ещё пару эксперимен, Карлос Сношайтилис (ok), 11:38 , 31-Янв-24, (3) // И по http ходить на всякий случай Вдруг он тоже сломается , keydon (ok), 11:58 , 31-Янв-24, (27) // Через http Ростелеком незаконно наталкивает в чужие сайты свою рекламу, а пользо, rvs2016 (ok), 12:08 , 31-Янв-24, (35) +1 // По http вроде бы как можно было заблокировать конкретную страницу, на которой и , Бывалый смузихлёб (?), 12:24 , 31-Янв-24, (41) Да Можно заблокировать только одну страницу И РКН в своём требовании к провайд, rvs2016 (ok), 12:30 , 31-Янв-24, (43) +1 Они порой ничего не пишут - страница тупо не открывается, падая по превышению вр, Бывалый смузихлёб (?), 13:36 , 31-Янв-24, (92) Лол, таким еще кто-то занимается Помню пяток лет назад этим сначала стали промыш, Ананий (?), 13:16 , 31-Янв-24, (80) Ага Занимаются да притом ещё как После того, как мы наши сайты на https переклю, rvs2016 (ok), 13:39 , 31-Янв-24, (96) +1 Можете точнее написать в каких RSS остаются ссылки на http Я вроде очень давно , Maxim Chirkov (ok), 14:04 , 31-Янв-24, (107) http www opennet ru openforum forum_vsluhforumID4 rsshttps www opennet ru op, rvs2016 (ok), 14:20 , 31-Янв-24, (112) Поправил, теперь там только https , Maxim Chirkov (ok), 16:54 , 31-Янв-24, (170) У меня так opennet в закладках оставался как http После переустановки ос сначал, Аноним (114), 14:22 , 31-Янв-24, (114) На http сайт сейчас еще постараться надо, чтобы зайти Все хромо-клоны верещат к, Анонимщик (?), 10:45 , 03-Фев-24, (280) Как постоянный пользователь Мегафона подтверждаю, тоже регулярно вставляет рекла, Аноним (222), 22:27 , 31-Янв-24, (222) +1 У меня мой сайт только по http, https есть но там самоподписной сертификат Нет с, Ivan_83 (ok), 12:55 , 31-Янв-24, (61) –3 // У тебя уже ж есть не легший под американцев аналоговнеимеющей браузер который н, нах. (?), 13:35 , 31-Янв-24, (91) Подключён, и иногда на него даже кто то попадает Но в целом там странное и мал, Ivan_83 (ok), 13:38 , 31-Янв-24, (95) ну так с тем же успехом мог бы и вообще его выключить, надежно, безопастно, днс , нах. (?), 14:41 , 31-Янв-24, (125) Я тоже чтобы поделится В своё время послал хубр и перетащил всё к себе Но это ве, Ivan_83 (ok), 15:11 , 31-Янв-24, (156) Ну когда пользователям на http-сайте пишешь про то, что, дескать, тоарищи, помой, rvs2016 (ok), 13:45 , 31-Янв-24, (97) +1 У меня нет такой проблемы, а проблемы абонентом ростелекома меня не волнуют, впр, Ivan_83 (ok), 14:40 , 31-Янв-24, (124) +1 Какие заголовки надо с веб-сервера отправить вместе со страницей в браузер польз, rvs2016 (ok), 18:23 , 31-Янв-24, (184) Читайте про Content-Security-Policy заголовок , Ivan_83 (ok), 19:05 , 31-Янв-24, (191) Почитал Заголовок-то интересный Но узел, через который от веб-сервера к веб-брау, rvs2016 (ok), 19:20 , 31-Янв-24, (199) кстати, когда я увидел таки единственный раз правда не ростелек а мегафон на л, нах. (?), 14:43 , 31-Янв-24, (128) Надуюсь подробный публичный отчет будет по инциденту Не очень красиво получилос, Аноним (4), 11:40 , 31-Янв-24, (4) +4 // Надуюсь, если не будет, а так надеюсь , Аноним (4), 11:41 , 31-Янв-24, (6) +6 Он будет, но вам его не покажут Если вы не с той стороны социума, конечно, 12yoexpert (ok), 11:59 , 31-Янв-24, (29) +6 // На днях кажись, в минувшую пятницу Ночь-раннее утро примерно так же отвалили, Бывалый смузихлёб (?), 12:33 , 31-Янв-24, (47) –4 // не падения сети нужно двигать, а , 12yoexpert (ok), 13:04 , 31-Янв-24, (71) да, у товарищмайора-то на столе лежит, учения по мягкому принуждению на переключ, нах. (?), 14:44 , 31-Янв-24, (131) Это должен быть не отчет, а процесс Ибо - повреждение критической инфраструктур, Аноним (46), 12:33 , 31-Янв-24, (46) +2 // Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..., Аноним (233), 05:19 , 01-Фев-24, (233) +2 Ждем пополнения списка https ianix com pub dnssec-outages html, Аноним (1), 11:41 , 31-Янв-24, (5) +3 // Фигасебе списочек там В какую интересно номинацию попадет Мне очень зашла Long, Аноним (4), 11:48 , 31-Янв-24, (14) Вчера половина рунета отвалилась, да Затронуло в основном пользователей DoH, ос, Аноним (7), 11:42 , 31-Янв-24, (7) –4 // Максимум увидишь SEC_ERROR_UNKNOWN_ISSUER , Пряник (?), 11:53 , 31-Янв-24, (20) –1 // Страшно-страшно, браузер отказался открывать , Аноним (7), 11:56 , 31-Янв-24, (23) Отключил временно DNSSEC на домашнем сервере, всё заработало , Random (??), 12:23 , 31-Янв-24, (40) –1 Потому что DoH DoT и публичные 8 8 8 8 и пр аналоги держат те же дятлы которые н, Ivan_83 (ok), 12:58 , 31-Янв-24, (64) –5 // Ну вот год назад вроде мега отвалилась, сейчас какие-то бесполезные сайты в руне, Аноним (7), 13:09 , 31-Янв-24, (76) // А зачем его включать когда большая часть трафика под TLS , Ivan_83 (ok), 13:22 , 31-Янв-24, (84) –1 Чтобы не подменяли сайты на подконтрольные Толку от tls, когда сертификаты част, Аноним (7), 13:36 , 31-Янв-24, (93) Вы поддразумеваете что надо проделать огромную работу по отравлению кеша и выпус, Ivan_83 (ok), 13:47 , 31-Янв-24, (99) Ты ещё скажи митм никому не интересен, а последние 10 лет нам всем приснились В, Аноним (7), 13:51 , 31-Янв-24, (104) +1 Так покажите где на MiTM кто то поднялся, я видел всё от госов, а у них для этог, Ivan_83 (ok), 14:46 , 31-Янв-24, (135) +1 пойсон атаки подразумевают некого внешнего злыдня, а если злыдень - это провайде, Ананий (?), 14:32 , 31-Янв-24, (117) –1 Я зато занимался исплементацией DNS протокола и собственного рекурсера с кешем , Ivan_83 (ok), 14:49 , 31-Янв-24, (137) И какие защиты от спуффинга вы в вашем рекурсере применяли Расскажите, раз вы т, Sem (??), 18:48 , 01-Фев-24, (245) Как хорошо что есть личный локальный ресолвер Причём тут DoH Зависит от операто, fuggy (ok), 18:53 , 31-Янв-24, (188) // Четыре восьмёрки первыми начали подменять трафик в своё время, осадочек остался , Аноним (7), 19:06 , 31-Янв-24, (192) // Да-да, и проблема сто процентов в Гугле, а не в твоём провайдере, который 8 8 8 , Аноним (255), 19:39 , 31-Янв-24, (205) +1 О чём и речь А что смешного тебе Думаешь, в твоей стране такого не случится М, Аноним (7), 19:50 , 31-Янв-24, (206) –1 В моей стране принято соблюдать законы, регулятор не имеет доступа к инфраструкт, Аноним (255), 21:23 , 31-Янв-24, (216) Даже если так, времени жить в мире розовых пони у тебя буквально до следующей ло, Аноним (7), 00:47 , 01-Фев-24, (227) –1 Так то есть маленькие страны, где ты даже если инет отключишь то мобила просто ч, Ivan_83 (ok), 06:54 , 01-Фев-24, (236) Понимаю, что для мордорцев это мир розовых пони Только вот я в этом мире розовы, Аноним (255), 20:04 , 01-Фев-24, (254) –1 Времена меняются, да То, что законодательства да и сфера айти в целом отдельн, Аноним (7), 20:31 , 01-Фев-24, (258) Компания существует с 1964 года, оказывает телекоммуникационные услуги с 1995, к, Аноним (255), 21:28 , 01-Фев-24, (259) Ты всё правильно понял, крупнейший провайдер это карманный провайдер, других вар, Аноним (7), 21:40 , 01-Фев-24, (260) Кто вообще управляет DNS ами , Аноним (8), 11:42 , 31-Янв-24, (8) // РОСНИИРОС КИАЭ, Аноним (2), 11:44 , 31-Янв-24, (10) // Это прям ну ооочень устаревшая информация , Sem (??), 18:50 , 01-Фев-24, (246) whois ru, OpenEcho (?), 11:57 , 31-Янв-24, (25) ЦМУ ССОП же, что за вопросы, Аноним (114), 14:36 , 31-Янв-24, (119) Еще один повод перейти на зону Onion , Аноним (11), 11:47 , 31-Янв-24, (11) –2 // Там домены слишком сложные, еще вопрос что будет проще запомнить домен onion ил, Аноним (4), 11:52 , 31-Янв-24, (18) +3 // Ты же на сайты, которые посещаешь, не вручную домены набираешь, а по закладкам, , Аноним (28), 11:55 , 31-Янв-24, (22) // 50 на 50, если домен знаю наизусть то могу себе позволить нажать ctrl T и начать, Аноним (4), 12:01 , 31-Янв-24, (30) +2 а я чёт закладками никогда не пользовался, в ff по ним абсолютно неюзабельный по, 12yoexpert (ok), 12:06 , 31-Янв-24, (32) –1 в начале строки и ищет по букмаркам Еще есть неплохая фишка с keywords, можно, Аноним (83), 13:20 , 31-Янв-24, (83) прикольно, спс я в панельке по ctrl b пытался искать, 12yoexpert (ok), 13:31 , 31-Янв-24, (90) –1 Вручную По закладкам ходить долго и неудобно Их, конечно, для удобства могут в, rvs2016 (ok), 12:16 , 31-Янв-24, (38) +1 Смысл закладок в том, что в поиске в адресной строке они вылезают даже при очище, Аноним (44), 12:32 , 31-Янв-24, (44) Скрыто модератором, Аноним (255), 18:22 , 31-Янв-24, (183) Скрыто модератором, rvs2016 (ok), 22:55 , 31-Янв-24, (224) Закладки ещё нужно чтобы вместо легального сайта не переходить на какой-нибудь , fuggy (ok), 19:55 , 31-Янв-24, (207) главное даже не запомнить а найти в принципе - и быть хоть как-то уверенным что , нах. (?), 13:04 , 31-Янв-24, (70) +1 Там был какой-то преобразователь aw34awfsdfa3rsdfasdf23r3q4rwedzfdsr3rqwefd onio, Аноним (2), 16:47 , 31-Янв-24, (169) gemini ещё есть Ещё в i2p неплохая идея, но нет клиентов один на джаве, второй, 12yoexpert (ok), 11:57 , 31-Янв-24, (26) // Gemini не работают без доменных имён, а следовательно и какого-нибудь DNS, что о, Аноним (34), 12:08 , 31-Янв-24, (34) // gns от gnu, 12yoexpert (ok), 13:02 , 31-Янв-24, (68) –1 Скрыто модератором, Аноним (-), 16:32 , 31-Янв-24, (167) А зачем вообще менять ключ на аналогичный но параметрам, а не, например, постква, Аноним (28), 11:47 , 31-Янв-24, (12) –5 // Время жизни ключа ограничена, поэтому регулярно выполняют ротацию ключей , Аноним (9), 11:50 , 31-Янв-24, (16) +4 // Он спросил зачем, а не почему Ключи меняются на случай утечки, так менее реальн, Аноним (7), 11:54 , 31-Янв-24, (21) // Раз в три месяца планово заменяются ключи, типа защита на случай если ключ скомп, Аноним (9), 12:05 , 31-Янв-24, (31) мысль о том что система автозамены ключей и есть наиболее вероятная точка компро, нах. (?), 12:58 , 31-Янв-24, (65) –3 Случаи подмены ключей палятся очень быстро через сверку ключей полученных их раз, Аноним (130), 14:44 , 31-Янв-24, (130) так они будут - одинаковые Никакой другой подмены в принципе быть не может Уров, нах. (?), 14:45 , 31-Янв-24, (133) Не будут Допустим утёк ключ зоны и новый владелец рассылает информацию, что, Аноним (130), 14:50 , 31-Янв-24, (139) и Ключ у тебя - уже утек Все ключи правильно подписаны и переподписаны ничем ем, нах. (?), 14:56 , 31-Янв-24, (143) Только вот помимо липового ключа нужно иметь доступ к каждому корневому серверу , Аноним (130), 15:02 , 31-Янв-24, (147) Если ключи одинаковые, то где подмена Я вам ключ подменил на тот же самый , Sem (??), 18:55 , 01-Фев-24, (247) DNSSec ни от чего, тем более массового не защищает, не нужно сочинять , Ivan_83 (ok), 15:13 , 31-Янв-24, (157) –1 DNSSEC защищает от подделки DNS-записей Конечно от полноценного MITM он не спас, Аноним (130), 17:59 , 31-Янв-24, (176) Вы для начала в реальной жизни попробуйте отравить кеш резолвера, потом будете р, Ivan_83 (ok), 19:08 , 31-Янв-24, (194) +1 https www iana org dnssec ceremonies, Sw00p aka Jerom (?), 03:22 , 01-Фев-24, (231) Небось ключи в зип архиве случайные люди шлют по электронке, а потом какой-нибуд, Аноним (48), 12:33 , 31-Янв-24, (48) –3 // я тебя расстрою, наверное, но процедуры отката в dns - нет Вообще И любая ошиб, нах. (?), 12:47 , 31-Янв-24, (53) +3 // На подконтрольной инфраструктуре откат должен происходить мгновенно Некорректна, Аноним (48), 17:09 , 31-Янв-24, (172) // А оно дойдёт по электронке-то Она давно завязана на DNS Или у вас uucp , 1 (??), 17:48 , 31-Янв-24, (173) +1 дойдет, у нормальных-то домены в net, только вот - noc какого-нибудь tele2 ни, нах. (?), 18:40 , 31-Янв-24, (186) Скрыто модератором, нах. (?), 18:37 , 31-Янв-24, (185) +1 Скрыто модератором, Аноним (48), 01:00 , 01-Фев-24, (228) Скрыто модератором, n00by (ok), 09:07 , 01-Фев-24, (238) Ну тебе на твоей впс и правда не нужна никакая атоматизация, быстрее руками DNSS, Аноним (255), 18:20 , 31-Янв-24, (182) Хорошо Вы о них думаете В rar архиве , nox. (?), 14:36 , 31-Янв-24, (120) +1 Вопрос не совсем в тему В связи с блоком wg openvpn кто-нибудь проверял, по ipv, чатжпт (?), 12:52 , 31-Янв-24, (56) Но виновных как всегда нет и наказывать никого не будут , Этофиаско (?), 12:55 , 31-Янв-24, (60) +3 // Да, было бы неплохо возродить публичные порки на Красной Площади, Секретный (?), 13:49 , 31-Янв-24, (101) –2 // А почему вы решили, что за это не накажут вас , Аноним (162), 15:41 , 31-Янв-24, (162) +5 Может ли это быть связано с массовыми просьбами заблокировать Ютуб Неужели чебу, Аноним (-), 12:55 , 31-Янв-24, (62) // А заблочили рутуб Даже для больных это перебор , Ivan_83 (ok), 13:00 , 31-Янв-24, (67) +1 Логику по тиктоку не преподают, но можно прояснить - как связанны проблемы с зон, Ананий (?), 14:16 , 31-Янв-24, (110) –4 // Такой воображаемый, что половина сайтов без VPN уже давно не открывается Да и, Макдональдс (?), 14:20 , 31-Янв-24, (111) +5 Тут, скорее, тестировалось отключение зоны ру от макдакнета , Тот_Самый_Анонимус_ (?), 19:14 , 31-Янв-24, (197) –1 Вообще не заметил никаких сбоев Узнал о них лишь из новостей , Neon (??), 13:05 , 31-Янв-24, (72) –1 // Вам повезло, ваш DNS сервер выполняющий рекурсию был с отключённым DNSsec , Ivan_83 (ok), 13:11 , 31-Янв-24, (79) –1 // У меня все такие , 1 (??), 17:52 , 31-Янв-24, (175) Аналогично , nox. (?), 14:37 , 31-Янв-24, (121) Я вечером тоже сидел с выключеным инетом Вообще не заметил работает ли он, Аноним (221), 22:26 , 31-Янв-24, (221) На самом деле сбои были, но куда менее сильные чем писал народ Ну да, кое что у, Kuromi (ok), 03:35 , 02-Фев-24, (270) Не знал, что в москве есть технический центр всего интернетаcontact techni, Всем Анонимам Аноним (?), 13:20 , 31-Янв-24, (81) –1 // Если бы всего интернета он бы назывался Technical Center of the Internet само со, fuggy (ok), 20:11 , 31-Янв-24, (210) +3 А я вчера ловил лулзы с беспомощных ИТ специалистов как на хубре так и у провайд, Ivan_83 (ok), 13:20 , 31-Янв-24, (82) –3 // Ну ты нашёл где помощи искать - на околотехническом хабре Там только поливать г, _oleg_ (ok), 13:30 , 31-Янв-24, (89) –3 // Мне помощь не нужна, у меня на unbound домашнем DNSSec всегда выключен и проблем, Ivan_83 (ok), 13:49 , 31-Янв-24, (102) // Зачем вам вообще интернет Идите в пещеру , Sem (??), 18:58 , 01-Фев-24, (248) И вполне логично, что они не сильно разобрались Ха, ты так пишешь, как-будто куч, Аноним (-), 13:56 , 31-Янв-24, (105) –1 // При чём тут именно dns Там разве не всё обсирают, что не сделано иммигрантами н, _oleg_ (ok), 14:04 , 31-Янв-24, (108) А что, не за дело обсирают Последнее, что было сделано так, что не стыдно показа, Аноним (2), 12:15 , 01-Фев-24, (239) Скрыто модератором, _oleg_ (ok), 12:22 , 01-Фев-24, (240) Скрыто модератором, arthi747 (ok), 18:19 , 31-Янв-24, (181) +2 Скрыто модератором, penetrator (?), 21:06 , 31-Янв-24, (214) Достаточно было в логи залезть, чтобы понять, что косяк в DNSSEC И да, я юзаю D, timur.davletshin (ok), 13:47 , 31-Янв-24, (100) +2 // Даже не нужно в логи лезть Пару dig, что бы понять, что это глобально сломалось, Sem (??), 19:00 , 01-Фев-24, (249) Не смешно Там вообще хоть одна буква ценной информации бывает , nox. (?), 14:38 , 31-Янв-24, (123) +1 В официальной инструкции есть способ отключения dnssec как удаление пути до файл, fuggy (ok), 20:15 , 31-Янв-24, (211) Мы у себя проблему в 19 17 увидели, а в 19 40 уже вырубили нахер dnssec , _oleg_ (ok), 13:28 , 31-Янв-24, (87) +1 // Аха, вот такие, когда видят ошибку сертификата, тоже клацают Игнорировать , timur.davletshin (ok), 13:46 , 31-Янв-24, (98) +2 // Я клацаю игнорить, потому что на 99 сайтах которые я посещаю TLS не нужен, я та, Ivan_83 (ok), 13:51 , 31-Янв-24, (103) +1 // А потом, в тот момент, когда не нужно что-то делать, ты задним числом понимаешь,, timur.davletshin (ok), 14:43 , 31-Янв-24, (127) Не нужно проецировать свои проблемы на других Я смотрю на сертификат только для , Ivan_83 (ok), 14:54 , 31-Янв-24, (142) +1 Видал я таких умных, которые отправляли на автомате несколько миллионов в утиль,, timur.davletshin (ok), 19:22 , 31-Янв-24, (200) +1 Ему DNSSEC не нужен, TLS не нужен Зачем он вообще сюда зашел, не ясно , Sem (??), 19:02 , 01-Фев-24, (250) Не знаю чем надо заниматься, чтобы часто видеть эти ошибки Мне может раз в меся, Самый умный из вас (?), 14:59 , 31-Янв-24, (145) Какие такие, чудо Какой большой смысл от dnssec у провайдера имеется ввиду, не, _oleg_ (ok), 14:02 , 31-Янв-24, (106) –1 // Увы, таких помойных провайдеров полно А DoH как раз и существует в том числе из, Аноним (7), 14:13 , 31-Янв-24, (109) +1 А doh тебе зачем, болезный , _oleg_ (ok), 14:21 , 31-Янв-24, (113) –1 Для исключения человеческого фактора у провайдера, говорю же По факту лишняя ра, Аноним (7), 14:27 , 31-Янв-24, (115) +1 Блин, как тяжело с такими Ты на вопрос не ответил Перечитай, не в падлу , _oleg_ (ok), 14:34 , 31-Янв-24, (118) –1 А что тебе перечитать, если ты не осознаёшь, что защищать от провайдера до клиен, Аноним (7), 14:42 , 31-Янв-24, (126) +1 Ты с больной на здоровую голову не перекладывай Что ты собрался защищать и поче, _oleg_ (ok), 14:52 , 31-Янв-24, (140) Ты не понял, DoT DoH так же держат DNSSec включённым и точно так же вчера всех с, Ivan_83 (ok), 15:03 , 31-Янв-24, (149) Квадовский 9 9 9 10 без dnssec, Аноним (232), 03:52 , 01-Фев-24, (232) Unsecured No Malware blocking, no DNSSEC validation for experts only , Sw00p aka Jerom (?), 03:49 , 02-Фев-24, (271) Note We do not recommend mixing the secure and unsecured IP addresses in the sa, Sw00p aka Jerom (?), 03:51 , 02-Фев-24, (272) То есть ты просто доверяешь человеческому фактору другого провайдера , fuggy (ok), 20:33 , 31-Янв-24, (212) Я доверяю тому, что dnssec не будет отключен Особенно, когда в конфиге доверие , Аноним (7), 20:42 , 31-Янв-24, (213) Ну и сидите без доступа к сайтам при каждом чихе , Ivan_83 (ok), 21:27 , 31-Янв-24, (217) –1 Во-первых, не при каждом Большинство операторов всё же умеет пользоваться DNSSE, Аноним (255), 20:16 , 01-Фев-24, (256) DoH не исключает необходимости проверять DNSSEC Вообще никак , timur.davletshin (ok), 14:44 , 31-Янв-24, (129) –1 DoH действует в обход провайдера с некомпетентными сотрудниками Естественно, не, Аноним (7), 14:49 , 31-Янв-24, (138) –1 Вообще то исключает, за тебя это делает владелец DoT DoH сервиса , Ivan_83 (ok), 15:04 , 31-Янв-24, (151) –1 Не придумывай Нигде об этом в протоколе не говорится Раз уж DoT упомянул, то т, timur.davletshin (ok), 16:30 , 31-Янв-24, (166) Нет DoH DoT это желание гугла анб залезть в штаны хомякам против их воли, под пр, Ivan_83 (ok), 15:01 , 31-Янв-24, (146) –1 DoH вполне может быть и подконтрольным К примеру, тот же dnscrypt гарантирует, , Аноним (7), 15:35 , 31-Янв-24, (161) Чушь dnscrypt как и DoT DoH гарантируют ровно тоже что и TLS в ваш днс трафик н, Ivan_83 (ok), 16:06 , 31-Янв-24, (163) –2 Всё же, это уже не те случаи, которые стоит рассматривать Но на уровне днс впол, Аноним (7), 18:01 , 31-Янв-24, (177) Я вам по секрету скажу - рекурсер с кешем можно дома даже держать У меня оно д, Ivan_83 (ok), 19:13 , 31-Янв-24, (196) С терминологией разберись сперва Вот такие, которые даже терминологии не освоили, timur.davletshin (ok), 14:46 , 31-Янв-24, (134) +1 А что тебя смущает Какие такие , _oleg_ (ok), 14:53 , 31-Янв-24, (141) Клиентам DNSSec не нужен, да и провайдерский сервер его может разве что ретрансл, Ivan_83 (ok), 14:57 , 31-Янв-24, (144) Так и делают Давно уже не помню, что бы магистралы dns давали, но и когда давал, _oleg_ (ok), 15:04 , 31-Янв-24, (150) –1 На наге одмины провайдеров тоже не могут объяснить зачем им DNSSec нужен, в книж, Ivan_83 (ok), 15:06 , 31-Янв-24, (152) +1 Давно там не был - Но на наге так-то школьников разы меньше, чем здесь Так ч, _oleg_ (ok), 15:11 , 31-Янв-24, (155) Перечислишь админов и провайдеров по именам или ты это 171 чисто по ощущениям , Аноним (255), 18:08 , 31-Янв-24, (180) Сам у них спрашивайте https forum nag ru index php topic 129992-xyz-upal pag, Ivan_83 (ok), 19:14 , 31-Янв-24, (198) А кто же это сделал , Аноним (132), 14:44 , 31-Янв-24, (132) +1 // ессественно новенький админ, которого не курсанули, что при смене ключей необход, Sw00p aka Jerom (?), 16:35 , 31-Янв-24, (168) –1   // Если бы новенький админ, то не выпускали бы отчет со смыслом это не мы такие, э, Sem (??), 19:04 , 01-Фев-24, (251)   // https cctld ru media news kc 35566 , Sem (??), 19:06 , 01-Фев-24, (252)   Возникшая коллизия ключей, в причинах которой в настоящее время продолжают ра, Sw00p aka Jerom (?), 22:13 , 01-Фев-24, (261)   Коллизия - это, например, когда хеши от разных данных совпали Тут требуется ква, n00by (ok), 07:56 , 02-Фев-24, (273)   - Почему у тебя нос сломан - Потому-что он столкнулся коллизия с чужим кулаком, Sw00p aka Jerom (?), 09:23 , 02-Фев-24, (274)   Допускаем, сгенерировали 1024 битный ZSK ключ rsa, его хеш sha256 ибо algo_id 8, Sw00p aka Jerom (?), 09:48 , 02-Фев-24, (275)   Тут задача из разряда кто даст правильный ответ - тот получит 10 лет , n00by (ok), 13:00 , 02-Фев-24, (277)   ага, кто купит билетов пачку XDОбратим внимание на данное утверждение ч, Sw00p aka Jerom (?), 16:00 , 02-Фев-24, (278)   для истории Из письма ТЦИ следует, что сбой длился 30 января с 18 28 до 21 00 , Sw00p aka Jerom (?), 14:43 , 08-Фев-24, (281)   и прикол в том, что они на протяжении нескольких часов не вкуривали почему сигна, Sw00p aka Jerom (?), 16:59 , 31-Янв-24, (171) +3 // я подозреваю в их офисе резко отвалился интернет, 4ge тоже пошло по п-де кто не, нах. (?), 19:08 , 31-Янв-24, (193) +1 // лол, кек у меня opennet ru не открывался, вот и заметил а байки про то, что н, Sw00p aka Jerom (?), 22:25 , 31-Янв-24, (220) Или их хакнули или они в очередной раз попробовали пропихнуть свои интернет по п, Аноним (160), 15:24 , 31-Янв-24, (160) –2 Еще Воланд говорил Канту за завтраком про DNSSEC 171 Вы, профессор, воля ваша, Аноним (164), 16:12 , 31-Янв-24, (164) В очередной раз убедились, что DNSSEC отлично работает И в том, что людей поним, Аноним (255), 18:06 , 31-Янв-24, (178) +4 // Зачем нужен ремень безопасности когда ты находишься в жидкой среде близкой по пл, Ivan_83 (ok), 19:24 , 31-Янв-24, (201) // 171 Фонаты 187 действительно много чего не могут Попробуй спросить знающих , Аноним (255), 19:32 , 31-Янв-24, (204) // Те не вас Покажите примеры успешных атак, потому что я читал только про лаборат, Ivan_83 (ok), 20:04 , 31-Янв-24, (209) Как скажешь Я тебе покажу, а ты скажешь, что я 171 фонат 187 и придумаешь, п, Аноним (255), 21:29 , 31-Янв-24, (218) кек, а че это много разве одновременно досишь неймсервер, который должен присла, Sw00p aka Jerom (?), 00:15 , 01-Фев-24, (226) Нет, не много, но 2 16 надо слать на все порты, обычно это 1024-65535 Те примерн, Ivan_83 (ok), 06:51 , 01-Фев-24, (234) Это ты отлично придумал Теперь можно не только замедлить разрешение имён в атак, Аноним (255), 20:30 , 01-Фев-24, (257) Примеры таких компаний , Аноним (279), 05:36 , 03-Фев-24, (279) Когда амеры это сделают, по ТВ просто скажут что надо везде прописать суверенн, Kuromi (ok), 15:40 , 01-Фев-24, (242) TLS у вас от вашего браузера до 8 8 8 8 А DNSSEC от 8 8 8 8 до остальных не, Sw00p aka Jerom (?), 22:46 , 01-Фев-24, (263) А ведь 47 минут назад подпись всё-таки успешно поменяли https dnsviz net d , DragonX256 (ok), 18:06 , 31-Янв-24, (179) +2 На уровне слуховых слухов вся ситуация с заменой ключей DNSSEC отлично ложится н, Kuromi (ok), 15:36 , 01-Фев-24, (241) // есть такая гипотеза, а как иначе всех со всяких восьмерок и единичек перевес, Sw00p aka Jerom (?), 22:30 , 01-Фев-24, (262) // Ну сорянчик, боли роста , бывает , Kuromi (ok), 02:25 , 02-Фев-24, (269) роскомпозор пилит суверенный днс с подменой ключей, больше всех попали мобильные, Аноним (276), 11:33 , 02-Фев-24, (276) 1,2,3,4,5,7,8,11,12,48,56,60,62,72,81,82,87,132,160,164,178,179,241,276

Сообщения

[Сортировка по времени | RSS]

	168. "Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..."	–1 +/–
	Сообщение от Sw00p aka Jerom (?), 31-Янв-24, 16:35
	ессественно новенький админ, которого не курсанули, что при смене ключей необходимо заранее сообщить тов. майору :)
	Ответить | Правка | Наверх | Cообщить модератору

	251. "Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..."	+/–
	Сообщение от Sem (??), 01-Фев-24, 19:04
	Если бы новенький админ, то не выпускали бы отчет со смыслом "это не мы такие, это DNSSEC такой. И вообще, переходите все на НСДИ.".
	Ответить | Правка | Наверх | Cообщить модератору

	252. "Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..."	+/–
	Сообщение от Sem (??), 01-Фев-24, 19:06
	https://cctld.ru/media/news/kc/35566/
	Ответить | Правка | Наверх | Cообщить модератору

	261. "Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..."	+/–
	Сообщение от Sw00p aka Jerom (?), 01-Фев-24, 22:13
	> https://cctld.ru/media/news/kc/35566/ """ Возникшая коллизия ключей, в причинах которой в настоящее время продолжают разбираться специалисты Технического центра интернет (ТЦИ) и MSK-IX, привела к временной недоступности зоны .RU для части интернет-пользователей. После обнаружения сбоя обновленные ключи были отозваны, и работоспособность зоны .RU в полном объеме восстановилась, что заняло, включая распространение данных по системе DNS, около двух часов. """" Какая нахрен коллизия? коллизия с чем? с каким другим ключем? если ключи независимые. Там можно записи подписывать одновременно обоими ключами (ZSK). Раздел 4.1.1.2.  Double-Signature Zone Signing Key Rollover https://www.rfc-editor.org/rfc/rfc6781 Да это все работало даже в том случае если добавили бы один и тот же ключ с другим key_id и подписали бы записи. Какой нафиг отзыв? Это термин из PKI. А что за бред про "в полном объеме восстановилась, что заняло, включая распространение данных по системе DNS,". Никто не кеширует богусную зону. Восстановилась именно сразу после того как "правильно все было переподписано". Хотя по моей версии все там правильно было переподписано, ибо этот процесс происходит каждый квартал. Нового админа не курсанули, чтобы ключи вовремя отослал тов. майору, вот и все.
	Ответить | Правка | Наверх | Cообщить модератору

	273. "Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..."	+/–
	Сообщение от n00by (ok), 02-Фев-24, 07:56
	Коллизия - это, например, когда хеши от разных данных совпали. Тут требуется квалифицированный конспиролог, способный объяснить, почему поля Галуа весьма далеки от Эйфелевой башни.
	Ответить | Правка | Наверх | Cообщить модератору

	274. "Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..."	+/–
	Сообщение от Sw00p aka Jerom (?), 02-Фев-24, 09:23
	- Почему у тебя нос сломан? - Потому-что он столкнулся (коллизия) с чужим кулаком Счастливое число Слэвина (ц)
	Ответить | Правка | Наверх | Cообщить модератору

	275. "Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..."	+/–
	Сообщение от Sw00p aka Jerom (?), 02-Фев-24, 09:48
	Допускаем, сгенерировали 1024 битный ZSK ключ rsa, его хеш sha256 (ибо algo_id=8) как вы говорите столкнулся c хешем какого ключа? Со старым ключем ZSK? Ну и что?
	Ответить | Правка | К родителю #273 | Наверх | Cообщить модератору

	277. "Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..."	+/–
	Сообщение от n00by (ok), 02-Фев-24, 13:00
	Тут задача из разряда "кто даст правильный ответ - тот получит 10 лет".
	Ответить | Правка | Наверх | Cообщить модератору

	278. "Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..."	+/–
	Сообщение от Sw00p aka Jerom (?), 02-Фев-24, 16:00
	> Тут задача из разряда "кто даст правильный ответ - тот получит 10 лет". ага, "кто купит билетов пачку" ... XD Обратим внимание на данное утверждение: """ что главной причиной сбоя стало несовершенство программного обеспечения, используемого при создании ключей шифрования. """ Вопрос, какого ПО? Сделаю предположение - самописного, своего рода "панель управления", в которой можно сгенерить ключ для зоны и подписать записи. Отсюда: """ Как и любое другое технологическое решение, DNSSEC требует усовершенствования с течением времени, чтобы исправить обнаруживаемые ошибки работы. """ Вопрос, так DNSSEC требует усовершенствование или ваше "самопальное" ПО? """ Возникшая коллизия ключей """ Предполагаем возникновение коллизии созданного ключа. Как вы заметили, коллизия с хешем может быть от ключа, но с каким другим ключом? При генерации нового ключа (ZSK) существует ОДИН текущий актуальный активный ключ. Вероятно их ПО при запросе на переподписывании выбирало ключ из (где они там хранят ключи - не знаю) "базы" по хешу ключа, и напоролась на актуальный активный текущий ключ, взяла его и переподписала зону. Если коллизия произошла именно с этим ключем, то в чем проблема? Разве подпись ресурсных записей должна была быть невалидной? Ключ ведь актуальный активный никто ведь не удалял. Может key_tag неверный был у ресурсных записей? - НЕТ. Судя по dnsviz второй ключ был добавлен еще числа 26-го. 256 3 8 AwEAAbjj3GP0TUwaNI7BIIw/fvwKTmdR +oZsEPk64pl8VYn4dfdbGHWpYIooxcgEbuBEYrnC/oqnKhad38nTxrZ9SAK3qV5qShntFdgozS5IKs5m1ebNmg2sotlhXRhJ4vqgH+BQh/lw6T4vdB8FE5tHGE1vwPs9Vhj0vLTBhX8TwB6/ ; key tag = 52263 256 3 8 AwEAAcBtr/w2hP6OQjiCacPFzK6xh0pR 7QsHV9lxprIXG9WBoBB5XWPVc5q17F3yt3wpJ7xmedt80gxVMaicPYNYAa8YUFyMxTGVBDVQlz5gCmXQKlr0yImI78sdwzWNmgKHap0BLypTBVxAKxpcvuwTmqXQUSONkjq9werHvogrvkUb ; key tag = 44301 key tag - по сути должен храниться вместе с ключевой парой, и ситуация с коллизией описанной выше, по идее должна была выставить в качестве key tag в RRSIG не новый key tag = 52263, а "старый" текущий актуальный key tag = 44301. НО - судя по dnsviz NS 8 1 345600 20240305102631 20240130141847 52263 ru. kw9oqgvi/l0MZp/6FY0Ha+VZDWRR3+iDUCYqAY5W7D2wCfIXXdOOvdd58nNY7z/3b4fRK6tlTF3wQpCDSpeKrmkWmric4kcUptaj1rp71lC0GHXHmGwDsx8Zi/lvo6sJEk0guBbJYBJkzKqeseD4u1Pw29jkRHhQEJKk2seP+Zk= у битой сигнатуры был выставлен key tag = 52263 - нового ключа, так почему же она оказалась битой? Представим примитивное хранение ключевых пар key_tag, pub_key, priv_key, hash   44301, pub_cur, priv_cur, hash_cur   52263, pub_new, priv_new, hash_new Ну вот тут если hash_cur==hash_new и сделать выборку по hash, то какая разница какой из ключей выбрался бы, результат был бы - валидная сигнатура, ибо ситуация возьми priv_cur (текущий приватный ключ) и выстави key tag от ключа priv_new - ИСКЛЮЧАЕТСЯ!!!. Так в чем же причина битой сигнатуры? А теперь допустим куда реалистичную ситуацию. Опять представим примитивное хранение ключевых пар: key_tag, pub_key, priv_key, hash   44301, pub_cur, priv_cur, hash_cur   52263, pub_new, priv_new, hash_new   12345, pub_old, priv_old, hash_old   22222, pub_001, priv_001, hash_001   33333, pub_002, priv_002, hash_002   52263, pub_123, priv_123, hash_123 Допускаем, что они не удаляли старые ключевые пары, и среди ключей коллизия должна была быть не только по hash, но и одновременно по key_tag, так как key_tag в битых сигнатурах был от якобы нового опубликованного ключа. Но коллизия по hash двух 1024 битовых rsa ключевых пар мне кажется мало вероятной, склоняюсь к тому, что коллизия могла произойти по key_tag. Вывод: Читаем внимательно https://datatracker.ietf.org/doc/html/rfc4034#appendix-B    key_tag не обязан быть уникальным, отсюда вся беда с коллизией в том, что НАКОЙ ХРАНИТЬ СТАРЫЕ КЛЮЧИ?
	Ответить | Правка | Наверх | Cообщить модератору

	281. "Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..."	+/–
	Сообщение от Sw00p aka Jerom (?), 08-Фев-24, 14:43
	для истории """ Из письма ТЦИ следует, что сбой длился 30 января с 18:28 до 21:00 мск и затронул сайты в доменных зонах *.RU, .tatar и .дети. Сбой произошёл при замене старого ключа для проверки подлинности записей в файле зоны на новый. Подобные замены — плановые, для домена *.RU они производятся четыре раза в год, очередная началась 24 января. «В результате сбоя конфигурации в системе [30 января при активации нового ключа] оказались две пары ключей с одинаковым keytag (16-битный тег, который вычисляется по алгоритму от данных ключа», — отмечается в разъяснении ТЦИ. Коллизия с одинаковыми keytag в системе в нем объясняется «сбоем программного обеспечения». """ https://habr.com/ru/news/792176/
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема