Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSEC, opennews (??), 31-Янв-24, (0) [смотреть все] А в чем ошибка была, собственно , Аноним (1), 11:33 , 31-Янв-24, (1) –2 // Записи в зоне RU другим ключом подписали, не тем, что указан в записи DNSKEY Он, Аноним (9), 11:44 , 31-Янв-24, (9) +15 // А почему давно не запилили, DNS разве не на СПО зиждится , Аноним (28), 11:58 , 31-Янв-24, (28) –8 // Причем тут СПО и зачем что-то пилить Косплеить корневой сервер можно хоть на MS , Ананий (?), 13:10 , 31-Янв-24, (77) +2 Похоже, у них там свой набор верхних корневых днс-серверов Его ключом и подписа, Аноним (36), 12:15 , 31-Янв-24, (36) –5 // Скрыто модератором, Бывалый смузихлёб (?), 12:28 , 31-Янв-24, (42) +7 Скрыто модератором, Аноним (51), 12:39 , 31-Янв-24, (51) +1 А какой смысл использовать разные ключи , Аноним (37), 12:15 , 31-Янв-24, (37) НСДИ они тоже положили Но поскольку это кого надо НСДИ, там быстренько почистил, нах. (?), 12:44 , 31-Янв-24, (52) +2 // Наверное больше потому, что от НСДИ почти никто из потребительского сегмента пок, Аноним (54), 12:49 , 31-Янв-24, (54) +1 Еще как уже зависят Просто тебе об этом не доложат Просто поскольку он сам себе, нах. (?), 12:52 , 31-Янв-24, (55) +2 Докладываю ни один провайдер долго не проработает, если его днс-серверы не буду, San (??), 13:24 , 31-Янв-24, (85) +1 А чего тут тогда все у всех навернулось Они ж там всепачинили через пять минут , нах. (?), 13:27 , 31-Янв-24, (86) +1 Есть разные схемы подключения к НСДИ , Ivan_83 (ok), 14:38 , 31-Янв-24, (122) Быстренько Да он минут 20 косплеил под всех отвечая на всё SRVFAIL А потом там, Аноним (154), 15:08 , 31-Янв-24, (154) +3 может железке по середке не установили новый ключ , Sw00p aka Jerom (?), 15:08 , 31-Янв-24, (153) Здесь все намного проще Перед выборами шaтaют не только интернет, но и сотовую , Bonjovi (?), 12:20 , 31-Янв-24, (39) –6 // 4ебурнет на завершающей стадии, Аноним (215), 21:14 , 31-Янв-24, (215) –5 ЯПОЭЗ https sockpuppet org blog 2015 01 15 against-dnssec , Аноним (2), 11:34 , 31-Янв-24, (2) +1 // 1DNSSec для конечных потребителей устарел с тех пор как гугл всех на https натя, Ivan_83 (ok), 12:53 , 31-Янв-24, (57) –1 // DNSSec - это защита от недобросовестности Гугла, не , Аноним (63), 12:56 , 31-Янв-24, (63) –3 // Нет Это когда то ходили байки что можно отравить кеш резолвера посылая ему посто, Ivan_83 (ok), 13:08 , 31-Янв-24, (75) +2 да он и раньше-то нахрен был не нужен Очередная диверсия от профессоров далеких, нах. (?), 13:30 , 31-Янв-24, (88) –1 // Я не дебажил Перезапустил пару раз unbound ради интереса, надеялся что отвалится, Ivan_83 (ok), 13:37 , 31-Янв-24, (94) +1 а там на диске нет кэша gtld там вопрос в том чтоб тебе glue records отдал - , нах. (?), 14:48 , 31-Янв-24, (136) На диске вроде никаких кешей нет, только рутовые сервера и может их ключи DNSSec, Ivan_83 (ok), 15:21 , 31-Янв-24, (159) Ну да выходит валидатор выключил и не увидел возможной подмены днс, в то время к, fuggy (ok), 19:28 , 31-Янв-24, (202) +1 Покажите мне успешные атаки на отравление кеша, тогда будет иметь смысл продолжа, Ivan_83 (ok), 19:57 , 31-Янв-24, (208) Твоя безопасность - это твое дело Никто не должен тебе ничего доказывать , Sem (??), 18:40 , 01-Фев-24, (244) Ну не скажите Допустим у Вас очень большое количество пользователей ведут перепи, suffix (ok), 16:55 , 01-Фев-24, (243) +1 // Бывает Не бывает У всех пользователей уже стоит Outlook, в котором шифрование е, Аноним (255), 20:06 , 01-Фев-24, (255) Свидетельство канарейки Да уж можно и не включать Наверняка ещё пару эксперимен, Карлос Сношайтилис (ok), 11:38 , 31-Янв-24, (3) // И по http ходить на всякий случай Вдруг он тоже сломается , keydon (ok), 11:58 , 31-Янв-24, (27) // Через http Ростелеком незаконно наталкивает в чужие сайты свою рекламу, а пользо, rvs2016 (ok), 12:08 , 31-Янв-24, (35) +1 // По http вроде бы как можно было заблокировать конкретную страницу, на которой и , Бывалый смузихлёб (?), 12:24 , 31-Янв-24, (41) Да Можно заблокировать только одну страницу И РКН в своём требовании к провайд, rvs2016 (ok), 12:30 , 31-Янв-24, (43) +1 Они порой ничего не пишут - страница тупо не открывается, падая по превышению вр, Бывалый смузихлёб (?), 13:36 , 31-Янв-24, (92) Лол, таким еще кто-то занимается Помню пяток лет назад этим сначала стали промыш, Ананий (?), 13:16 , 31-Янв-24, (80) Ага Занимаются да притом ещё как После того, как мы наши сайты на https переклю, rvs2016 (ok), 13:39 , 31-Янв-24, (96) +1 Можете точнее написать в каких RSS остаются ссылки на http Я вроде очень давно , Maxim Chirkov (ok), 14:04 , 31-Янв-24, (107) http www opennet ru openforum forum_vsluhforumID4 rsshttps www opennet ru op, rvs2016 (ok), 14:20 , 31-Янв-24, (112) Поправил, теперь там только https , Maxim Chirkov (ok), 16:54 , 31-Янв-24, (170) У меня так opennet в закладках оставался как http После переустановки ос сначал, Аноним (114), 14:22 , 31-Янв-24, (114) На http сайт сейчас еще постараться надо, чтобы зайти Все хромо-клоны верещат к, Анонимщик (?), 10:45 , 03-Фев-24, (280) Как постоянный пользователь Мегафона подтверждаю, тоже регулярно вставляет рекла, Аноним (222), 22:27 , 31-Янв-24, (222) +1 У меня мой сайт только по http, https есть но там самоподписной сертификат Нет с, Ivan_83 (ok), 12:55 , 31-Янв-24, (61) –3 // У тебя уже ж есть не легший под американцев аналоговнеимеющей браузер который н, нах. (?), 13:35 , 31-Янв-24, (91) Подключён, и иногда на него даже кто то попадает Но в целом там странное и мал, Ivan_83 (ok), 13:38 , 31-Янв-24, (95) ну так с тем же успехом мог бы и вообще его выключить, надежно, безопастно, днс , нах. (?), 14:41 , 31-Янв-24, (125) Я тоже чтобы поделится В своё время послал хубр и перетащил всё к себе Но это ве, Ivan_83 (ok), 15:11 , 31-Янв-24, (156) Ну когда пользователям на http-сайте пишешь про то, что, дескать, тоарищи, помой, rvs2016 (ok), 13:45 , 31-Янв-24, (97) +1 У меня нет такой проблемы, а проблемы абонентом ростелекома меня не волнуют, впр, Ivan_83 (ok), 14:40 , 31-Янв-24, (124) +1 Какие заголовки надо с веб-сервера отправить вместе со страницей в браузер польз, rvs2016 (ok), 18:23 , 31-Янв-24, (184) Читайте про Content-Security-Policy заголовок , Ivan_83 (ok), 19:05 , 31-Янв-24, (191) Почитал Заголовок-то интересный Но узел, через который от веб-сервера к веб-брау, rvs2016 (ok), 19:20 , 31-Янв-24, (199) кстати, когда я увидел таки единственный раз правда не ростелек а мегафон на л, нах. (?), 14:43 , 31-Янв-24, (128) Надуюсь подробный публичный отчет будет по инциденту Не очень красиво получилос, Аноним (4), 11:40 , 31-Янв-24, (4) +4 // Надуюсь, если не будет, а так надеюсь , Аноним (4), 11:41 , 31-Янв-24, (6) +6 Он будет, но вам его не покажут Если вы не с той стороны социума, конечно, 12yoexpert (ok), 11:59 , 31-Янв-24, (29) +6 // На днях кажись, в минувшую пятницу Ночь-раннее утро примерно так же отвалили, Бывалый смузихлёб (?), 12:33 , 31-Янв-24, (47) –4 // не падения сети нужно двигать, а , 12yoexpert (ok), 13:04 , 31-Янв-24, (71) да, у товарищмайора-то на столе лежит, учения по мягкому принуждению на переключ, нах. (?), 14:44 , 31-Янв-24, (131) Это должен быть не отчет, а процесс Ибо - повреждение критической инфраструктур, Аноним (46), 12:33 , 31-Янв-24, (46) +2 // Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..., Аноним (233), 05:19 , 01-Фев-24, (233) +2 Ждем пополнения списка https ianix com pub dnssec-outages html, Аноним (1), 11:41 , 31-Янв-24, (5) +3 // Фигасебе списочек там В какую интересно номинацию попадет Мне очень зашла Long, Аноним (4), 11:48 , 31-Янв-24, (14) Вчера половина рунета отвалилась, да Затронуло в основном пользователей DoH, ос, Аноним (7), 11:42 , 31-Янв-24, (7) –4 // Максимум увидишь SEC_ERROR_UNKNOWN_ISSUER , Пряник (?), 11:53 , 31-Янв-24, (20) –1 // Страшно-страшно, браузер отказался открывать , Аноним (7), 11:56 , 31-Янв-24, (23) Отключил временно DNSSEC на домашнем сервере, всё заработало , Random (??), 12:23 , 31-Янв-24, (40) –1 Потому что DoH DoT и публичные 8 8 8 8 и пр аналоги держат те же дятлы которые н, Ivan_83 (ok), 12:58 , 31-Янв-24, (64) –5   // Ну вот год назад вроде мега отвалилась, сейчас какие-то бесполезные сайты в руне, Аноним (7), 13:09 , 31-Янв-24, (76)   // А зачем его включать когда большая часть трафика под TLS , Ivan_83 (ok), 13:22 , 31-Янв-24, (84) –1   Чтобы не подменяли сайты на подконтрольные Толку от tls, когда сертификаты част, Аноним (7), 13:36 , 31-Янв-24, (93)   Вы поддразумеваете что надо проделать огромную работу по отравлению кеша и выпус, Ivan_83 (ok), 13:47 , 31-Янв-24, (99)   Ты ещё скажи митм никому не интересен, а последние 10 лет нам всем приснились В, Аноним (7), 13:51 , 31-Янв-24, (104) +1   Так покажите где на MiTM кто то поднялся, я видел всё от госов, а у них для этог, Ivan_83 (ok), 14:46 , 31-Янв-24, (135) +1   пойсон атаки подразумевают некого внешнего злыдня, а если злыдень - это провайде, Ананий (?), 14:32 , 31-Янв-24, (117) –1   Я зато занимался исплементацией DNS протокола и собственного рекурсера с кешем , Ivan_83 (ok), 14:49 , 31-Янв-24, (137)   И какие защиты от спуффинга вы в вашем рекурсере применяли Расскажите, раз вы т, Sem (??), 18:48 , 01-Фев-24, (245)   Как хорошо что есть личный локальный ресолвер Причём тут DoH Зависит от операто, fuggy (ok), 18:53 , 31-Янв-24, (188) // Четыре восьмёрки первыми начали подменять трафик в своё время, осадочек остался , Аноним (7), 19:06 , 31-Янв-24, (192) // Да-да, и проблема сто процентов в Гугле, а не в твоём провайдере, который 8 8 8 , Аноним (255), 19:39 , 31-Янв-24, (205) +1 О чём и речь А что смешного тебе Думаешь, в твоей стране такого не случится М, Аноним (7), 19:50 , 31-Янв-24, (206) –1 В моей стране принято соблюдать законы, регулятор не имеет доступа к инфраструкт, Аноним (255), 21:23 , 31-Янв-24, (216) Даже если так, времени жить в мире розовых пони у тебя буквально до следующей ло, Аноним (7), 00:47 , 01-Фев-24, (227) –1 Так то есть маленькие страны, где ты даже если инет отключишь то мобила просто ч, Ivan_83 (ok), 06:54 , 01-Фев-24, (236) Понимаю, что для мордорцев это мир розовых пони Только вот я в этом мире розовы, Аноним (255), 20:04 , 01-Фев-24, (254) –1 Времена меняются, да То, что законодательства да и сфера айти в целом отдельн, Аноним (7), 20:31 , 01-Фев-24, (258) Компания существует с 1964 года, оказывает телекоммуникационные услуги с 1995, к, Аноним (255), 21:28 , 01-Фев-24, (259) Ты всё правильно понял, крупнейший провайдер это карманный провайдер, других вар, Аноним (7), 21:40 , 01-Фев-24, (260) Кто вообще управляет DNS ами , Аноним (8), 11:42 , 31-Янв-24, (8) // РОСНИИРОС КИАЭ, Аноним (2), 11:44 , 31-Янв-24, (10) // Это прям ну ооочень устаревшая информация , Sem (??), 18:50 , 01-Фев-24, (246) whois ru, OpenEcho (?), 11:57 , 31-Янв-24, (25) ЦМУ ССОП же, что за вопросы, Аноним (114), 14:36 , 31-Янв-24, (119) Еще один повод перейти на зону Onion , Аноним (11), 11:47 , 31-Янв-24, (11) –2 // Там домены слишком сложные, еще вопрос что будет проще запомнить домен onion ил, Аноним (4), 11:52 , 31-Янв-24, (18) +3 // Ты же на сайты, которые посещаешь, не вручную домены набираешь, а по закладкам, , Аноним (28), 11:55 , 31-Янв-24, (22) // 50 на 50, если домен знаю наизусть то могу себе позволить нажать ctrl T и начать, Аноним (4), 12:01 , 31-Янв-24, (30) +2 а я чёт закладками никогда не пользовался, в ff по ним абсолютно неюзабельный по, 12yoexpert (ok), 12:06 , 31-Янв-24, (32) –1 в начале строки и ищет по букмаркам Еще есть неплохая фишка с keywords, можно, Аноним (83), 13:20 , 31-Янв-24, (83) прикольно, спс я в панельке по ctrl b пытался искать, 12yoexpert (ok), 13:31 , 31-Янв-24, (90) –1 Вручную По закладкам ходить долго и неудобно Их, конечно, для удобства могут в, rvs2016 (ok), 12:16 , 31-Янв-24, (38) +1 Смысл закладок в том, что в поиске в адресной строке они вылезают даже при очище, Аноним (44), 12:32 , 31-Янв-24, (44) Скрыто модератором, Аноним (255), 18:22 , 31-Янв-24, (183) Скрыто модератором, rvs2016 (ok), 22:55 , 31-Янв-24, (224) Закладки ещё нужно чтобы вместо легального сайта не переходить на какой-нибудь , fuggy (ok), 19:55 , 31-Янв-24, (207) главное даже не запомнить а найти в принципе - и быть хоть как-то уверенным что , нах. (?), 13:04 , 31-Янв-24, (70) +1 Там был какой-то преобразователь aw34awfsdfa3rsdfasdf23r3q4rwedzfdsr3rqwefd onio, Аноним (2), 16:47 , 31-Янв-24, (169) gemini ещё есть Ещё в i2p неплохая идея, но нет клиентов один на джаве, второй, 12yoexpert (ok), 11:57 , 31-Янв-24, (26) // Gemini не работают без доменных имён, а следовательно и какого-нибудь DNS, что о, Аноним (34), 12:08 , 31-Янв-24, (34) // gns от gnu, 12yoexpert (ok), 13:02 , 31-Янв-24, (68) –1 Скрыто модератором, Аноним (-), 16:32 , 31-Янв-24, (167) А зачем вообще менять ключ на аналогичный но параметрам, а не, например, постква, Аноним (28), 11:47 , 31-Янв-24, (12) –5 // Время жизни ключа ограничена, поэтому регулярно выполняют ротацию ключей , Аноним (9), 11:50 , 31-Янв-24, (16) +4 // Он спросил зачем, а не почему Ключи меняются на случай утечки, так менее реальн, Аноним (7), 11:54 , 31-Янв-24, (21) // Раз в три месяца планово заменяются ключи, типа защита на случай если ключ скомп, Аноним (9), 12:05 , 31-Янв-24, (31) мысль о том что система автозамены ключей и есть наиболее вероятная точка компро, нах. (?), 12:58 , 31-Янв-24, (65) –3 Случаи подмены ключей палятся очень быстро через сверку ключей полученных их раз, Аноним (130), 14:44 , 31-Янв-24, (130) так они будут - одинаковые Никакой другой подмены в принципе быть не может Уров, нах. (?), 14:45 , 31-Янв-24, (133) Не будут Допустим утёк ключ зоны и новый владелец рассылает информацию, что, Аноним (130), 14:50 , 31-Янв-24, (139) и Ключ у тебя - уже утек Все ключи правильно подписаны и переподписаны ничем ем, нах. (?), 14:56 , 31-Янв-24, (143) Только вот помимо липового ключа нужно иметь доступ к каждому корневому серверу , Аноним (130), 15:02 , 31-Янв-24, (147) Если ключи одинаковые, то где подмена Я вам ключ подменил на тот же самый , Sem (??), 18:55 , 01-Фев-24, (247) DNSSec ни от чего, тем более массового не защищает, не нужно сочинять , Ivan_83 (ok), 15:13 , 31-Янв-24, (157) –1 DNSSEC защищает от подделки DNS-записей Конечно от полноценного MITM он не спас, Аноним (130), 17:59 , 31-Янв-24, (176) Вы для начала в реальной жизни попробуйте отравить кеш резолвера, потом будете р, Ivan_83 (ok), 19:08 , 31-Янв-24, (194) +1 https www iana org dnssec ceremonies, Sw00p aka Jerom (?), 03:22 , 01-Фев-24, (231) Небось ключи в зип архиве случайные люди шлют по электронке, а потом какой-нибуд, Аноним (48), 12:33 , 31-Янв-24, (48) –3 // я тебя расстрою, наверное, но процедуры отката в dns - нет Вообще И любая ошиб, нах. (?), 12:47 , 31-Янв-24, (53) +3 // На подконтрольной инфраструктуре откат должен происходить мгновенно Некорректна, Аноним (48), 17:09 , 31-Янв-24, (172) // А оно дойдёт по электронке-то Она давно завязана на DNS Или у вас uucp , 1 (??), 17:48 , 31-Янв-24, (173) +1 дойдет, у нормальных-то домены в net, только вот - noc какого-нибудь tele2 ни, нах. (?), 18:40 , 31-Янв-24, (186) Скрыто модератором, нах. (?), 18:37 , 31-Янв-24, (185) +1 Скрыто модератором, Аноним (48), 01:00 , 01-Фев-24, (228) Скрыто модератором, n00by (ok), 09:07 , 01-Фев-24, (238) Ну тебе на твоей впс и правда не нужна никакая атоматизация, быстрее руками DNSS, Аноним (255), 18:20 , 31-Янв-24, (182) Хорошо Вы о них думаете В rar архиве , nox. (?), 14:36 , 31-Янв-24, (120) +1 Вопрос не совсем в тему В связи с блоком wg openvpn кто-нибудь проверял, по ipv, чатжпт (?), 12:52 , 31-Янв-24, (56) Но виновных как всегда нет и наказывать никого не будут , Этофиаско (?), 12:55 , 31-Янв-24, (60) +3 // Да, было бы неплохо возродить публичные порки на Красной Площади, Секретный (?), 13:49 , 31-Янв-24, (101) –2 // А почему вы решили, что за это не накажут вас , Аноним (162), 15:41 , 31-Янв-24, (162) +5 Может ли это быть связано с массовыми просьбами заблокировать Ютуб Неужели чебу, Аноним (-), 12:55 , 31-Янв-24, (62) // А заблочили рутуб Даже для больных это перебор , Ivan_83 (ok), 13:00 , 31-Янв-24, (67) +1 Логику по тиктоку не преподают, но можно прояснить - как связанны проблемы с зон, Ананий (?), 14:16 , 31-Янв-24, (110) –4 // Такой воображаемый, что половина сайтов без VPN уже давно не открывается Да и, Макдональдс (?), 14:20 , 31-Янв-24, (111) +5 Тут, скорее, тестировалось отключение зоны ру от макдакнета , Тот_Самый_Анонимус_ (?), 19:14 , 31-Янв-24, (197) –1 Вообще не заметил никаких сбоев Узнал о них лишь из новостей , Neon (??), 13:05 , 31-Янв-24, (72) –1 // Вам повезло, ваш DNS сервер выполняющий рекурсию был с отключённым DNSsec , Ivan_83 (ok), 13:11 , 31-Янв-24, (79) –1 // У меня все такие , 1 (??), 17:52 , 31-Янв-24, (175) Аналогично , nox. (?), 14:37 , 31-Янв-24, (121) Я вечером тоже сидел с выключеным инетом Вообще не заметил работает ли он, Аноним (221), 22:26 , 31-Янв-24, (221) На самом деле сбои были, но куда менее сильные чем писал народ Ну да, кое что у, Kuromi (ok), 03:35 , 02-Фев-24, (270) Не знал, что в москве есть технический центр всего интернетаcontact techni, Всем Анонимам Аноним (?), 13:20 , 31-Янв-24, (81) –1 // Если бы всего интернета он бы назывался Technical Center of the Internet само со, fuggy (ok), 20:11 , 31-Янв-24, (210) +3 А я вчера ловил лулзы с беспомощных ИТ специалистов как на хубре так и у провайд, Ivan_83 (ok), 13:20 , 31-Янв-24, (82) –3 // Ну ты нашёл где помощи искать - на околотехническом хабре Там только поливать г, _oleg_ (ok), 13:30 , 31-Янв-24, (89) –3 // Мне помощь не нужна, у меня на unbound домашнем DNSSec всегда выключен и проблем, Ivan_83 (ok), 13:49 , 31-Янв-24, (102) // Зачем вам вообще интернет Идите в пещеру , Sem (??), 18:58 , 01-Фев-24, (248) И вполне логично, что они не сильно разобрались Ха, ты так пишешь, как-будто куч, Аноним (-), 13:56 , 31-Янв-24, (105) –1 // При чём тут именно dns Там разве не всё обсирают, что не сделано иммигрантами н, _oleg_ (ok), 14:04 , 31-Янв-24, (108) А что, не за дело обсирают Последнее, что было сделано так, что не стыдно показа, Аноним (2), 12:15 , 01-Фев-24, (239) Скрыто модератором, _oleg_ (ok), 12:22 , 01-Фев-24, (240) Скрыто модератором, arthi747 (ok), 18:19 , 31-Янв-24, (181) +2 Скрыто модератором, penetrator (?), 21:06 , 31-Янв-24, (214) Достаточно было в логи залезть, чтобы понять, что косяк в DNSSEC И да, я юзаю D, timur.davletshin (ok), 13:47 , 31-Янв-24, (100) +2 // Даже не нужно в логи лезть Пару dig, что бы понять, что это глобально сломалось, Sem (??), 19:00 , 01-Фев-24, (249) Не смешно Там вообще хоть одна буква ценной информации бывает , nox. (?), 14:38 , 31-Янв-24, (123) +1 В официальной инструкции есть способ отключения dnssec как удаление пути до файл, fuggy (ok), 20:15 , 31-Янв-24, (211) Мы у себя проблему в 19 17 увидели, а в 19 40 уже вырубили нахер dnssec , _oleg_ (ok), 13:28 , 31-Янв-24, (87) +1 // Аха, вот такие, когда видят ошибку сертификата, тоже клацают Игнорировать , timur.davletshin (ok), 13:46 , 31-Янв-24, (98) +2 // Я клацаю игнорить, потому что на 99 сайтах которые я посещаю TLS не нужен, я та, Ivan_83 (ok), 13:51 , 31-Янв-24, (103) +1 // А потом, в тот момент, когда не нужно что-то делать, ты задним числом понимаешь,, timur.davletshin (ok), 14:43 , 31-Янв-24, (127) Не нужно проецировать свои проблемы на других Я смотрю на сертификат только для , Ivan_83 (ok), 14:54 , 31-Янв-24, (142) +1 Видал я таких умных, которые отправляли на автомате несколько миллионов в утиль,, timur.davletshin (ok), 19:22 , 31-Янв-24, (200) +1 Ему DNSSEC не нужен, TLS не нужен Зачем он вообще сюда зашел, не ясно , Sem (??), 19:02 , 01-Фев-24, (250) Не знаю чем надо заниматься, чтобы часто видеть эти ошибки Мне может раз в меся, Самый умный из вас (?), 14:59 , 31-Янв-24, (145) Какие такие, чудо Какой большой смысл от dnssec у провайдера имеется ввиду, не, _oleg_ (ok), 14:02 , 31-Янв-24, (106) –1 // Увы, таких помойных провайдеров полно А DoH как раз и существует в том числе из, Аноним (7), 14:13 , 31-Янв-24, (109) +1 А doh тебе зачем, болезный , _oleg_ (ok), 14:21 , 31-Янв-24, (113) –1 Для исключения человеческого фактора у провайдера, говорю же По факту лишняя ра, Аноним (7), 14:27 , 31-Янв-24, (115) +1 Блин, как тяжело с такими Ты на вопрос не ответил Перечитай, не в падлу , _oleg_ (ok), 14:34 , 31-Янв-24, (118) –1 А что тебе перечитать, если ты не осознаёшь, что защищать от провайдера до клиен, Аноним (7), 14:42 , 31-Янв-24, (126) +1 Ты с больной на здоровую голову не перекладывай Что ты собрался защищать и поче, _oleg_ (ok), 14:52 , 31-Янв-24, (140) Ты не понял, DoT DoH так же держат DNSSec включённым и точно так же вчера всех с, Ivan_83 (ok), 15:03 , 31-Янв-24, (149) Квадовский 9 9 9 10 без dnssec, Аноним (232), 03:52 , 01-Фев-24, (232) Unsecured No Malware blocking, no DNSSEC validation for experts only , Sw00p aka Jerom (?), 03:49 , 02-Фев-24, (271) Note We do not recommend mixing the secure and unsecured IP addresses in the sa, Sw00p aka Jerom (?), 03:51 , 02-Фев-24, (272) То есть ты просто доверяешь человеческому фактору другого провайдера , fuggy (ok), 20:33 , 31-Янв-24, (212) Я доверяю тому, что dnssec не будет отключен Особенно, когда в конфиге доверие , Аноним (7), 20:42 , 31-Янв-24, (213) Ну и сидите без доступа к сайтам при каждом чихе , Ivan_83 (ok), 21:27 , 31-Янв-24, (217) –1 Во-первых, не при каждом Большинство операторов всё же умеет пользоваться DNSSE, Аноним (255), 20:16 , 01-Фев-24, (256) DoH не исключает необходимости проверять DNSSEC Вообще никак , timur.davletshin (ok), 14:44 , 31-Янв-24, (129) –1 DoH действует в обход провайдера с некомпетентными сотрудниками Естественно, не, Аноним (7), 14:49 , 31-Янв-24, (138) –1 Вообще то исключает, за тебя это делает владелец DoT DoH сервиса , Ivan_83 (ok), 15:04 , 31-Янв-24, (151) –1 Не придумывай Нигде об этом в протоколе не говорится Раз уж DoT упомянул, то т, timur.davletshin (ok), 16:30 , 31-Янв-24, (166) Нет DoH DoT это желание гугла анб залезть в штаны хомякам против их воли, под пр, Ivan_83 (ok), 15:01 , 31-Янв-24, (146) –1 DoH вполне может быть и подконтрольным К примеру, тот же dnscrypt гарантирует, , Аноним (7), 15:35 , 31-Янв-24, (161) Чушь dnscrypt как и DoT DoH гарантируют ровно тоже что и TLS в ваш днс трафик н, Ivan_83 (ok), 16:06 , 31-Янв-24, (163) –2 Всё же, это уже не те случаи, которые стоит рассматривать Но на уровне днс впол, Аноним (7), 18:01 , 31-Янв-24, (177) Я вам по секрету скажу - рекурсер с кешем можно дома даже держать У меня оно д, Ivan_83 (ok), 19:13 , 31-Янв-24, (196) С терминологией разберись сперва Вот такие, которые даже терминологии не освоили, timur.davletshin (ok), 14:46 , 31-Янв-24, (134) +1 А что тебя смущает Какие такие , _oleg_ (ok), 14:53 , 31-Янв-24, (141) Клиентам DNSSec не нужен, да и провайдерский сервер его может разве что ретрансл, Ivan_83 (ok), 14:57 , 31-Янв-24, (144) Так и делают Давно уже не помню, что бы магистралы dns давали, но и когда давал, _oleg_ (ok), 15:04 , 31-Янв-24, (150) –1 На наге одмины провайдеров тоже не могут объяснить зачем им DNSSec нужен, в книж, Ivan_83 (ok), 15:06 , 31-Янв-24, (152) +1 Давно там не был - Но на наге так-то школьников разы меньше, чем здесь Так ч, _oleg_ (ok), 15:11 , 31-Янв-24, (155) Перечислишь админов и провайдеров по именам или ты это 171 чисто по ощущениям , Аноним (255), 18:08 , 31-Янв-24, (180) Сам у них спрашивайте https forum nag ru index php topic 129992-xyz-upal pag, Ivan_83 (ok), 19:14 , 31-Янв-24, (198) А кто же это сделал , Аноним (132), 14:44 , 31-Янв-24, (132) +1 // ессественно новенький админ, которого не курсанули, что при смене ключей необход, Sw00p aka Jerom (?), 16:35 , 31-Янв-24, (168) –1 // Если бы новенький админ, то не выпускали бы отчет со смыслом это не мы такие, э, Sem (??), 19:04 , 01-Фев-24, (251) // https cctld ru media news kc 35566 , Sem (??), 19:06 , 01-Фев-24, (252) Возникшая коллизия ключей, в причинах которой в настоящее время продолжают ра, Sw00p aka Jerom (?), 22:13 , 01-Фев-24, (261) Коллизия - это, например, когда хеши от разных данных совпали Тут требуется ква, n00by (ok), 07:56 , 02-Фев-24, (273) - Почему у тебя нос сломан - Потому-что он столкнулся коллизия с чужим кулаком, Sw00p aka Jerom (?), 09:23 , 02-Фев-24, (274) Допускаем, сгенерировали 1024 битный ZSK ключ rsa, его хеш sha256 ибо algo_id 8, Sw00p aka Jerom (?), 09:48 , 02-Фев-24, (275) Тут задача из разряда кто даст правильный ответ - тот получит 10 лет , n00by (ok), 13:00 , 02-Фев-24, (277) ага, кто купит билетов пачку XDОбратим внимание на данное утверждение ч, Sw00p aka Jerom (?), 16:00 , 02-Фев-24, (278) для истории Из письма ТЦИ следует, что сбой длился 30 января с 18 28 до 21 00 , Sw00p aka Jerom (?), 14:43 , 08-Фев-24, (281) и прикол в том, что они на протяжении нескольких часов не вкуривали почему сигна, Sw00p aka Jerom (?), 16:59 , 31-Янв-24, (171) +3 // я подозреваю в их офисе резко отвалился интернет, 4ge тоже пошло по п-де кто не, нах. (?), 19:08 , 31-Янв-24, (193) +1 // лол, кек у меня opennet ru не открывался, вот и заметил а байки про то, что н, Sw00p aka Jerom (?), 22:25 , 31-Янв-24, (220) Или их хакнули или они в очередной раз попробовали пропихнуть свои интернет по п, Аноним (160), 15:24 , 31-Янв-24, (160) –2 Еще Воланд говорил Канту за завтраком про DNSSEC 171 Вы, профессор, воля ваша, Аноним (164), 16:12 , 31-Янв-24, (164) В очередной раз убедились, что DNSSEC отлично работает И в том, что людей поним, Аноним (255), 18:06 , 31-Янв-24, (178) +4 // Зачем нужен ремень безопасности когда ты находишься в жидкой среде близкой по пл, Ivan_83 (ok), 19:24 , 31-Янв-24, (201) // 171 Фонаты 187 действительно много чего не могут Попробуй спросить знающих , Аноним (255), 19:32 , 31-Янв-24, (204) // Те не вас Покажите примеры успешных атак, потому что я читал только про лаборат, Ivan_83 (ok), 20:04 , 31-Янв-24, (209) Как скажешь Я тебе покажу, а ты скажешь, что я 171 фонат 187 и придумаешь, п, Аноним (255), 21:29 , 31-Янв-24, (218) кек, а че это много разве одновременно досишь неймсервер, который должен присла, Sw00p aka Jerom (?), 00:15 , 01-Фев-24, (226) Нет, не много, но 2 16 надо слать на все порты, обычно это 1024-65535 Те примерн, Ivan_83 (ok), 06:51 , 01-Фев-24, (234) Это ты отлично придумал Теперь можно не только замедлить разрешение имён в атак, Аноним (255), 20:30 , 01-Фев-24, (257) Примеры таких компаний , Аноним (279), 05:36 , 03-Фев-24, (279) Когда амеры это сделают, по ТВ просто скажут что надо везде прописать суверенн, Kuromi (ok), 15:40 , 01-Фев-24, (242) TLS у вас от вашего браузера до 8 8 8 8 А DNSSEC от 8 8 8 8 до остальных не, Sw00p aka Jerom (?), 22:46 , 01-Фев-24, (263) А ведь 47 минут назад подпись всё-таки успешно поменяли https dnsviz net d , DragonX256 (ok), 18:06 , 31-Янв-24, (179) +2 На уровне слуховых слухов вся ситуация с заменой ключей DNSSEC отлично ложится н, Kuromi (ok), 15:36 , 01-Фев-24, (241) // есть такая гипотеза, а как иначе всех со всяких восьмерок и единичек перевес, Sw00p aka Jerom (?), 22:30 , 01-Фев-24, (262) // Ну сорянчик, боли роста , бывает , Kuromi (ok), 02:25 , 02-Фев-24, (269) роскомпозор пилит суверенный днс с подменой ключей, больше всех попали мобильные, Аноним (276), 11:33 , 02-Фев-24, (276) 1,2,3,4,5,7,8,11,12,48,56,60,62,72,81,82,87,132,160,164,178,179,241,276

Сообщения

[Сортировка по времени | RSS]

	64. "Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..."	–5 +/–
	Сообщение от Ivan_83 (ok), 31-Янв-24, 12:58
	Потому что DoH/DoT и публичные 8.8.8.8 и пр аналоги держат те же дятлы которые не отключают DNSsec, в итоге результат их использования в лучшую сторону не отличался. Притом локальные провайдеры некоторые додумались DNSSec отключить или он у них был выключен и у их пользователей всё работало.
	Ответить | Правка | К родителю #7 | Наверх | Cообщить модератору

	76. "Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..."	+/–
	Сообщение от Аноним (7), 31-Янв-24, 13:09
	Ну вот год назад вроде мега отвалилась, сейчас какие-то бесполезные сайты в рунете. Стоит ли отключать из-за очередного человеческого фактора dnssec? Это чтобы добавить ещё человеческого фактора в ситуацию, видимо, да?
	Ответить | Правка | Наверх | Cообщить модератору

	84. "Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..."	–1 +/–
	Сообщение от Ivan_83 (ok), 31-Янв-24, 13:22
	А зачем его включать когда большая часть трафика под TLS?
	Ответить | Правка | Наверх | Cообщить модератору

	93. "Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..."	+/–
	Сообщение от Аноним (7), 31-Янв-24, 13:36
	> А зачем его включать когда большая часть трафика под TLS? Чтобы не подменяли сайты на подконтрольные. Толку от tls, когда сертификаты часто совершенно левые? Как много пользователей вручную следит за внезапными сменами сертификатов на любимых сайтах? Я вот припоминаю несколько случаев, когда сертификаты с сайтами таким образом подменяли в РФ.
	Ответить | Правка | Наверх | Cообщить модератору

	99. "Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..."	+/–
	Сообщение от Ivan_83 (ok), 31-Янв-24, 13:47
	Вы поддразумеваете что надо проделать огромную работу по отравлению кеша и выпуску левого сертификата - и для чего? Как это ментизировать? И чтобы кеш отравить надо сильно флудить, как минимум 2млрд пакетов каждую секунду с фейковыми ответами, ибо 16 бит ID + 15 бит src port (даже чуть больше 15 может быть). В реале может чуть меньше можно сделать если подгадать src port, но даже так будет несколько десятков раз по 32к каждую секунду. Эта атака всегда была теоритической, делали её в лабах где или src port было мало или была возможность его угадать. Это не говоря о том, что допилить резолвер для автоматического отражаения такой атаки - дело получаса: если приходит много ответов без запросов то помечаем домен в ответах как атакуемый, шлём алерт админу а сами этот домен резолвим через TCP. Всё, досвидос.
	Ответить | Правка | Наверх | Cообщить модератору

	104. "Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..."	+1 +/–
	Сообщение от Аноним (7), 31-Янв-24, 13:51
	Ты ещё скажи митм никому не интересен, а последние 10 лет нам всем приснились. Все технологии давно отработаны.
	Ответить | Правка | Наверх | Cообщить модератору

	135. "Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..."	+1 +/–
	Сообщение от Ivan_83 (ok), 31-Янв-24, 14:46
	Так покажите где на MiTM кто то поднялся, я видел всё от госов, а у них для этого все крутилки есть by design. Они вам и DNSSec ответ подпишут нужный им без проблем.
	Ответить | Правка | Наверх | Cообщить модератору

	117. "Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..."	–1 +/–
	Сообщение от Ананий (?), 31-Янв-24, 14:32
	> Вы поддразумеваете что надо проделать огромную работу по отравлению кеша и выпуску > левого сертификата - и для чего? Как это ментизировать? пойсон атаки подразумевают некого внешнего злыдня, а если злыдень - это провайдер, которому злобный чекист(tm) приставил маузер к виску? ему не надо ничего спамить, достаточно перехвать ответы вот например ответ гугеля на opennet.ru 14:24:10.284333 IP 8.8.8.8.53 > 127.0.0.1.43736: 59855 1/0/0 A 217.65.3.21 (44)         0x0000:  5254 0015 495f 0200 0000 0001 0800 4500  RT..I_........E.         0x0010:  0048 3d6b 0000 6e11 e5c1 0808 0808 566e  .H=k..n.......Vn         0x0020:  c2fa 0035 aad8 0034 57c7 e9cf 8180 0001  ...5...4W.......         0x0030:  0001 0000 0000 076f 7065 6e6e 6574 0272  .......opennet.r         0x0040:  7500 0001 0001 c00c 0001 0001 0000 0851  u..............Q         0x0050:  0004 d941 0315     я разборкой пакетов особо никогда не занимался, но тут же последние 4 байта и есть ответ разобрать пакет ответа и подменить ойпи скорее всего не представляет особого труда.
	Ответить | Правка | К родителю #99 | Наверх | Cообщить модератору

	137. "Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..."	+/–
	Сообщение от Ivan_83 (ok), 31-Янв-24, 14:49
	Я зато занимался исплементацией DNS протокола и собственного рекурсера с кешем :) DNSSec не от провайдера, и тем более не от госов. Госы без проблем подпишут DNSSec то что им нужно, а ваш DNS трафик они просто завернут себе не спрашивая и будут отвечать без DNSSec, типа не хотите так - не будет вам инета.
	Ответить | Правка | Наверх | Cообщить модератору

	245. "Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSE..."	+/–
	Сообщение от Sem (??), 01-Фев-24, 18:48
	И какие защиты от спуффинга вы в вашем рекурсере применяли? Расскажите, раз вы такой DNSSEC-hater.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема