Názory k článku DNS-over-TLS (DoT) vs. DNS-over-HTTPS (DoH) a šifrování DNS v Knot Resolveru
-
Rozdíl v režii mezi DoT a Do53 není ani tak o dvou bajtech 'message length', to je skutečně prknotina. Zásadní rozdíl je v jednom roundtripu navíc při navazování spojení, což se nezdá strašné, ale docela je.
Resolverem, kterému myslím stojí za to obecně věřit, je CZ.NIC ODVR. Dá se k němu připojit bezpečně pomocí DoH a tuším snad i DoT. Ať už jste doma, nebo v čínském hotelu :-D
-
Problém DoH je, že jeho implementace se nejvíc nabízí v rámci prohlížečů, obecněji v rámci knihoven na zpracování HTTP. Otevřela se tím jednoduchá cesta, aby vendor každého software preferoval, nebo dokonce vynutil používání resolveru, který mu vyhovuje. Ano, i tradiční DNS (udp/tcp) se dalo takto implementovat, ale nikdo k tomu necítil potřebu, vždy bylo považováno za lepší řídit se nastavením systému, potažmo místní sítě či místního ISP. Z tradičních DNS požadavků se nedalo nic moc cenného vyčíst, z DoH už ano.
Uživatel, který se chtěl rozhodovat, komu důvěřuje, ten se mohl rozhodnout právě tím, jak si nastaví DNS v systému, případně administrátor sítě, jak ho nastaví v LAN. Většina to nedělala a nebude to dělat ani nadále.
Nebezpečí nečíhá v samotném DoH, ale v tom, že se nabízí prohlížečům (a nejen těm), aby preferovali takový resolver, kde který vznik indentifikovatelných statistik ocení (může to být jeho vlastní, nebo třetí strany). Zde pochybuji, že nějaká významná řada uživatelů bude vyhodnocovat rizika (jak je správně zmíněno v článku), ale vydá se všanc tomu, co přednastaví software. Vůbec není zaručeno, že výběr resolveru bude moci uživatel ovlivnit.
Domnívám se, že hlavní motivací pro tlak na DoH je "vyhovění" GDPR. DNS provoz je technicky nutná součást internetové komunikace. Proti současnému stavu přináší zlepšení na úrovni šifrování dat - tedy neoddiskutovatelný posun. Koncentrace informací ve vybraných uzlech internetu se bude označovat za "pouhý" technický důsledek.
-
Filip JirsákStříbrný podporovatelTo, co píšete, nijak nesouvisí s DoH. Nespoléhat se na systémový resolver mohou všechny aplikace odjakživa. Mnohé aplikace tu možnost skutečně mají, akorát o tom asi nevíte.
DoH vzniklo z jednoduchého důvodu – z krátkozrakého pohledu správců mnohých sítí. Ze spousty sítí se lze dostat do internetu jen protokolem TCP na porty 80 a 443, přičemž se uvnitř přenáší protokoly HTTP nebo HTTPS a v komunikaci čmuchá nějaké zařízení (v HTTPS s pomocí falešných certifikátů).
Reakce na to je logická a přirozená, máme dnes prakticky Internet-over-HTTPS – všechno se tuneluje přes HTTPS. DoH je jen jeden z moha takových protokolů. Platí, že máte, co jste chtěli – správci chtěli, aby veškerý provoz do internetu bylo jen HTTP(S), tak je veškerý provoz do internetu jen HTTP(S)…
-
@Filip Jirsák
Vše, co píšete, je mi jasné. Komentuji, že je to postup z bláta do louže. Zatímco dřív mohla poptávka zákazníků korigovat poskytovatele / správce, aby neblbnul, nyní se "transparentně" dáváme všanc někomu neznámému, se kterým žádný přímý vztah nemáme.
Proti HTTPS mám drobné výhrady vůči způsobu vynucování ze strany nezúčastněných stran (např. prohlížeče), ale ano, je to na správcích, jestli ho chtějí podporovat (dnes už na výběr de facto nemají). Jako jiný, ale související problém vidím, že neexistují možnosti legitimní inspekce provozu - což např. firmy opravdu potřebují. Tady je to taky ode zdi ke zdi. Od nulové ochrany (nešifrováním) jdeme až k nemožnosti ochrany (nemožnosti inspekce provozu).
Mně vadí nejvíc ta disproporce, a ta je podle mě hnaná (logicky a přirozeně) velkými hráči. Z témat si vybrali k prosazení jen ty části, které jim v globálu přinesou nerušitelný přístup k informacím o uživateli. Bez toho nefunguje ekonomika internetu (aspoň nyní ne).
Zarážející je ta starost o to, aby nikdo neviděl s kým komunikuji a zároveň se vybrané informace koncentrovaly na správných místech. Na druhé straně, ty nejcitilvější informace přenášíme elektronickou poštou - a na tomto poli je vývoj prakticky ustrnulý. Kraviny na zdi facebooku máme chráněné tak, že ani NSA do nich nevidí (nadsázka), zatímco osobní nebo obchodní mail může jít nešifrovaně přes půlu světa. Nerad bývám paranoidní, nejsem příznivec konspiračních teorií, ale na tomto poli jsou trendy už tak viditelné, že je nelze přehlédnout.
Jako jednu z mála cest vidím to aspoň komentovat (nemám sílu, přiznávám, ani motivaci to měnit). Možná si část veřejnosti urovná rizika, to, že vždy někomu důvěřujete - a že je pouze na konsensu komu, a jestli to bude více, či méně centralizované. Z mnohých komentářů mám (a myslím, že správný) pocit, že si laikové myslí, že zavedením HTTPS, DoH etc. jsou všechny problémy vyřešeny. A jen málo z nás si připouští, že vyřešením jednoho problému možná / asi zaděláváme na jiný, hlubší a ještě hůře řešitelný. To nijak nevylučuje Vaše postřehy o tom, že se jedná o přirozenou reakci trhu - o tom se nepřu.
-
Filip JirsákStříbrný podporovatel
Problém je, že vycházíte z předpokladu, že DoH provoz je směrován na jakési „velké hráče“. Což neodpovídá realitě. Např. Chrome má v ČR na výběr ODVR od CZ.NICu – to je podle vás velký globální hráč?
Mimochodem, inspekce provozu ve firmách je nesmysl – je to jen hotfix. Vir nebo malware opravdu nezajímá, jestli se do sítě dostane z prohlížeče, z e-mailu nebo třeba na flash disku. Ta inspekce se má provádět až na koncovém počítači, buď v okamžiku zápisu souboru na disk nebo v okamžiku jeho spuštění. Pak nezáleží na tom, odkud ten soubor přišel. Případně pokud chtějí provádět inspekci i kódu přímo v prohlížeči (JavaScript, WebAssembly apod.), má se to provádět až v prohlížeči.
To, že detekce v rámci HTTPS spojení má dnes nějaký význam, je dané jenom tím, že i útočníci jsou většinou líní používat nějaké sofistikovanější techniky. Ale pořád je to jen obrana proti těm nejhloupějším možným útokům.
-
Např. Chrome má v ČR na výběr
Kolik lidí si změní default? Jak je zajištěno, že do budoucna nevyhodnotí, že jejich vlastní DoH servery jsou ty nejspolehlivější v širém světě?
Mimochodem, inspekce provozu ve firmách je nesmysl – je to jen hotfix. Vir nebo malware opravdu nezajímá, jestli se do sítě dostane z prohlížeče, z e-mailu nebo třeba na flash disku.
Nejde jen o viry, ale i o to, jak smí zaměstnanec trávit svoji dobu, nebo jako zvýšená prevence úniku dat (i záměrného).
Ta inspekce se má provádět až na koncovém počítači, buď v okamžiku zápisu souboru na disk nebo v okamžiku jeho spuštění.
To platí možná pro viry, ale stejně chcete mít centrálně aspoň statistiky provozu a vidět, jestli nevzniká nějaká anomálie. To nezasahuje do soukromí a je to legitimní důvod.
Ano, jsou to možná "hotfixy", ačkoliv moc alternativních způsobů neexistuje, nebo jsou pro svoji náročnost a cenu nedostupné.
-
Kolik lidí si změní default?
A kolik lidí si změnilo default resolveru pro operační systém, když se připojili k hotelové síti?
Prostě platí, že ti, kdo si default nezmění, nebudou zabezpečeni proti všemu, neboť jak se v článku správně píše, žádná volba není nejlepší ve všech případech. Někdy je potřeba se bránit proti provozovateli místního resolveru protunelováním se jinam zkrz HTTPS, jindy je potřeba bránit se proti velkému korporátu použitím resolveru svého důvěryhodného poskytovatele připojení.
No a kdo si default změnit chce, ten to může udělat, jediná nevýhoda je, že to bude muset udělat na více místech (OS, prohlížeče) a vědět kterých.
-
A kolik lidí si změnilo default resolveru pro operační systém, když se připojili k hotelové síti?
Tam je tamní správce, a ten je ve službách hotelu (přímo či nepřímo). Když dojde např. ke zneužití, je možné se s někým konkrétním přít o náhradu škody, ... Když to by default odstrčíte někam "neznámo" (ve smyslu - k někomu, s kým nemáte žádný vztah), ztratí se jakákoliv možnost domoci se práva, nebo aby se prostředí lokálně vyvíjelo tak, jak je v daném místě a čase příslušné.
-
Filip JirsákStříbrný podporovatel
Kolik lidí si změní default?
Default je DNS server nakonfigurovaný v operačním systému.Vy to nemáte jednoduché. Když se používá konfigurace převzatá ze sítě, je to špatně. Když má uživatel na výběr, je to špatně. Kdyby uživatel neměl na výběr, také to bude špatně. Zkrátka vycházíte z předpokladu, že je všechno špatně – a jak to je vás ani nezajímá.
Jak je zajištěno, že do budoucna nevyhodnotí, že jejich vlastní DoH servery jsou ty nejspolehlivější v širém světě?
Stále nechápete, jak nesmyslné je tohle tvrzení? Jak je zajištěno, že do budoucna nevyhodnotí tvůrci operačního systému, že budou DNS resolvovat přes svoje vlastní servery proprietárním protokolem?Nejde jen o viry, ale i o to, jak smí zaměstnanec trávit svoji dobu, nebo jako zvýšená prevence úniku dat (i záměrného).
Přičemž nic z toho (ani tu ochranu proti virům) inspekce TLS nezajistí.To platí možná pro viry, ale stejně chcete mít centrálně aspoň statistiky provozu a vidět, jestli nevzniká nějaká anomálie. To nezasahuje do soukromí a je to legitimní důvod.
Kvůli statistikám ovšem nepotřebujete vidět do komunikace.Mně na tom netrápí zasahování do soukromí, to stejně musí být ošetřené. Mně vadí, že komunikaci rozbíjí, a že to popírá celý princip TLS. Na jednu stranu děláme spoustu opatření proti MitM, a pak řekneme, že MitM je vlastně v pohodě? Ti, kteří by se měli starat o bezpečnost komunikaci, na ní naopak útočí?
-
@Filip Jirsák
Teď překrucujete. Máme stav, který trvá desítky let a nepřinesl žádné velké hrozby z toho, že by nastavení DNS zneužil operační systém (ostatně, k čemu by mu to bylo - OS má přehled o i významnějších informacích a víc do detailu). Najednou se prosazuje něco, co otevírá dveře k novým problémům, o kterých víme, že jsou taky nežádoucí. Vyměňujeme jeden blbý stav za druhý blbý stav. V takovém případě je lepší nedělat nic, než to dělat zase špatně.
Jak je zajištěno, že do budoucna nevyhodnotí tvůrci operačního systému, že budou DNS resolvovat přes svoje vlastní servery proprietárním protokolem?
V motivaci - OS nemá důvod zasahovat do DNS, když k ještě detailnějším informacím přístup má. A kdyby to nastalo, budu psát i proti tomu.
Kvůli statistikám ovšem nepotřebujete vidět do komunikace.
Do komunikace ne, na obálku ano.
Mně na tom netrápí zasahování do soukromí, to stejně musí být ošetřené. Mně vadí, že komunikaci rozbíjí, a že to popírá celý princip TLS. Na jednu stranu děláme spoustu opatření proti MitM, a pak řekneme, že MitM je vlastně v pohodě? Ti, kteří by se měli starat o bezpečnost komunikaci, na ní naopak útočí?
Však taky tyto kroky proti MitM považuji za blbé. Jeden problém řeší, druhý otevírají. Zatímco parlamenty se nejsou s to shodnout, jak velký zásah do soukromí komunikace je přípustný, tak velké firmy nelení, a zavedou to ve svůj prospěch dřív, než poslanci dožvaní. (A následně parlamenty začnou "řešit" novou situaci, kterou než dožvaní, bude zase jiná).
-
Filip JirsákStříbrný podporovatel
Miroslav Šilhavý, 15:31: Nic nepřekrucuju. Současný stav ohledně fungování DNS v operačních systémech netrvá desítky let. Před desítkami let se DNS servery v operačním systému konfigurovaly ručně. Pak přišla konfigurace přes BOOTP, později DHCP, pak RA. Později přibyla podpora DNSSEC. Všechno to byly ve vašem pojetí světa první kroky na cestě do pekel.
To, jestli se prohlížeč dotazuje DNS serveru protokolem DNS-over-UDP nebo DNS-over-HTTPS, neotevírá dveře vůbec nikam.
V motivaci - OS nemá důvod zasahovat do DNS, když k ještě detailnějším informacím přístup má.
Zato prohlížeč – má také přístup k ještě detailnějším informacím.Do komunikace ne, na obálku ano.
Proti koukání na obálku nic nemám. Ono by bez koukání na informace na obálce jaksi nefungovalo ani doručování paketů.Jeden problém řeší, druhý otevírají. Zatímco parlamenty se nejsou s to shodnout, jak velký zásah do soukromí komunikace je přípustný, tak velké firmy nelení, a zavedou to ve svůj prospěch dřív, než poslanci dožvaní.
To není zdaleka jen záležitost velkých firem. Dnes je to bohužel běžná součást síťových firewallů pro podnikové nasazení. -
J ouda (neregistrovaný)
V tom prohlížeči na který se pravidelně objevují každoměsíčně kritická CVE, a stejně tak jak vyřadit danou endpoint protection?
Proboha neděláte náhodou bezpečnost v Temelíně, že ne. To by tam mohli rovnou zbourat plot, přs areál vést chodník na procházky a řešit až reaktorovnu, to přece stačí.
FYI https://en.wikipedia.org/wiki/Defense_in_depth_(computing) -
Vladimír ČunátStříbrný podporovatel
Zatím taková tvrdá opatření v ČR nařízena nejsou (tak jak to chápu, bez záruky). Samozřejmě, pokud by prohlížeče/SW začaly ve velkém obcházet DNS od ISP, je otázka co se stane. A z tohoto pohledu je hazard u nás opravdu prkotina.
V tuto chvíli mi to nepřijde akutní. Ti úplně největší zatím nechtějí defaultního providera DNS sami od sebe měnit. (Chrome/ium, Android myslím, Apple taky a i plány Windows) Firefox mi v tomto ohledu přijde mezi těmi "většími" jako výjimka, i když zatím to dělá jen v US (a ani celkově už nemá tak velký podíl uživatelů).
-
J ouda (neregistrovaný)
Firefox mě v poslední době znepokojuje z tohoto pohledu hodně. Zkusil jsem ho čerstvě nainstalovat, něco se překlepnul v URL a hle, první co na mě vybaflo bylo "než budeme pokračovat musíte souhlasit s podmínkami Google".
To bych jako default od prohlížeče který se mi chlubí jak moc chrání soukromí nečekal. Spíš to (+hrátky kolem DoH atd) na mě působí (wild speculation) jako by na něm někdo velký na něm někdo zkoušel, co ještě lidi všechno zkousnou, aby se hněv až začnou opravdu řvát nesnesl přímo na něj a na jeho vlastní produkt.
Ale pravda je že nevím jaké jsou tam vazby, finanční toky a možná jsem jen moc paranoidní. -
@J ouda
Spíš to (+hrátky kolem DoH atd) na mě působí (wild speculation) jako by na něm někdo velký na něm někdo zkoušel, co ještě lidi všechno zkousnou, aby se hněv až začnou opravdu řvát nesnesl přímo na něj a na jeho vlastní produkt.
Mám stejný pocit, Mozilla posloužila už několikrát jako otloukánek. Navíc jejich dlouho budovaná pověst nezávislé organizace (sic!) dodává hodně snahám punc toho, že když to chce i Mozilla, tak je to přeci pro lidi dobré. Mozilla je (byla) dlouhodobě závislá na financování od velkých hráčů; možná se snaží být na nich jakž takž nezávislá, ale úplně proti jejich zájmům jít nemůže - neměli by co jíst.
-
Filip JirsákStříbrný podporovatel
To bych jako default od prohlížeče který se mi chlubí jak moc chrání soukromí nečekal.
Adresní řádek slouží zároveň jako vyhledávací. Když zadáte něco jiného, než URL, vyhledá se to. Jako výchozí vyhledávač ve Firefoxu je nastaven Google. Když poprvé jdete na Google, vyžaduje od vás Google odsouhlasení podmínek.Co z toho je pro vás nečekané? Co z toho je špatně z hlediska ochrany soukromí?
Spíš to (+hrátky kolem DoH atd) na mě působí (wild speculation) jako by na něm někdo velký na něm někdo zkoušel, co ještě lidi všechno zkousnou, aby se hněv až začnou opravdu řvát nesnesl přímo na něj a na jeho vlastní produkt.
Takže zatímco Chrome už má DoH dávno zapnuté, na Firefoxu „někdo velký“ zkouší, jestli lidi skousnou, když se DoH zapne?Ale pravda je že nevím jaké jsou tam vazby, finanční toky a možná jsem jen moc paranoidní.
Ono by na léčbu té paranoii úplně stačilo zjistit si, jak se chovají prohlížeče. -
Adresní řádek slouží zároveň jako vyhledávací. Když zadáte něco jiného, než URL, vyhledá se to. Jako výchozí vyhledávač ve Firefoxu je nastaven Google. Když poprvé jdete na Google, vyžaduje od vás Google odsouhlasení podmínek.
Co z toho je pro vás nečekané? Co z toho je špatně z hlediska ochrany soukromí?
Podle mě jste nepochopil sdělení. Právně na tom není špatně vůbec nic. Fail je v marketingové komunikaci. Mozilla se pasovala a pasuje do role prohlížeče, který by uživatelé měli volit mimo jiné kvůli ochraně soukromí. Jeden by čekal, že implicitně bude Firefox nastavený tak, aby tuto myšlenku prosazoval. Místo toho je tam klasická uživatelská "past" - bezmyšlenkovitě zadáte výraz do adresního řádku, Mozilla předvybere Google. Je známý fakt, že uživatel má víc tendenci automaticky věřit předkládané variantě, než kdyby si vybíral sám na základě vlastní úvahy.
Není na tom špatně nic, ale Mozilla tím trochu popírá hodnoty, které deklaruje, že razí.
-
Filip JirsákStříbrný podporovatel
Sdělení jsem pochopil, děkuji za optání. Zdá se ale, že vy jste nepochopil sdělení. Například to, že jsem nepsal nic o tom, že by to bylo právně špatně, poznáte podle toho, že v mém komentáři není ani slovo o právu.
Já jsem se ptal, co je z hlediska uživatele špatně na tom, že adresní řádek slouží zároveň jako vyhledávací. Nebo na tom, že předvolený vyhledávač je Google. Vy jste místo toho zopakoval, jak funguje Firefox – což vím, vždyť jsem to v předchozím komentáři psal. A pak jste zopakoval, že Firefox popírá hodnoty, které má prosazovat. To je také jen opakování. Ale na mou otázku – které hodnoty popírá a čím – jste neodpověděl.
Tak já odpovím za vás. Používání Google vyhledávače nijak nenarušuje soukromí uživatele. Tím, že použitý vyhledávač nijak nenarušuje soukromí uživatele, nenarušuje soukromí uživatele ani sdružení adresního a vyhledávacího řádku do jednoho.
Firefox tedy nepopírá hodnoty, které razí. To jenom vy máte utkvělou představu, že se děje něco špatného – a když se vás zeptám co, nejste schopen odpovědět.
-
Firefox tedy nepopírá hodnoty, které razí. To jenom vy máte utkvělou představu, že se děje něco špatného – a když se vás zeptám co, nejste schopen odpovědět.
No a vidíte, víc lidí si prostě myslí, že tím popírá svůj headline "rychlý, soukromý a svobodný". Já jsem realista, nevidím pro Firefox jinou cestu, ale to popření sama sebe v tom vidím taky.
Jestli chcete konkrétně: pokud by mělo platit soukromý a svobodný, pak by bylo na místě při prvním vyhledávání z adresního řádku nabídnout, jak se má chovat, doporučit automatické předání vyhledávači vypnout, a v druhé volbě navrhnout seznam nejběžnějších služeb bez ohledu na to, kdo si za toto privilegium zaplatí. (Určitě by se dalo najít víc způsobů, jak to řešit, než jak jsem napsal. Každý z nich by navíc ještě přidal přívlastky "nepohodlný, nepřívětivý," abychom ten výčet měli kompletní.)
Vaší striktní logikou se určitě někteří lidé řídí, nepochybuji, ale v praxi Firefox ztrácí, protože jeho řešení vždy někoho naštve - a lidé si pak už kladou otázku, proč tedy rovnou nepoužívat Chrome, Edge, Safari, ..., když je k dispozici hned a výsledek je prakticky stejný.
-
Filip JirsákStříbrný podporovatel
No a vidíte, víc lidí si prostě myslí,
Ne, nemyslí. Kdyby si to mysleli, dokážou to odůvodnit. Oni jenom mají pocit. Nevědí proč, nepřemýšlí nad tím, prostě jen mají pocit, že je něco špatně.Jestli chcete konkrétně: pokud by mělo platit soukromý a svobodný, pak by bylo na místě při prvním vyhledávání z adresního řádku nabídnout, jak se má chovat, doporučit automatické předání vyhledávači vypnout, a v druhé volbě navrhnout seznam nejběžnějších služeb bez ohledu na to, kdo si za toto privilegium zaplatí.
Toto by platilo, pokud by mottem Firefoxu bylo, že je uživatelsky nepřívětivý. Uvedené změny by ale neměly žádný vliv ani na svobodu uživatele, ani na jeho soukromí.v praxi Firefox ztrácí, protože jeho řešení vždy někoho naštve
Každé řešení vždy někoho naštve. Firefox nejspíš ztrácí víc, než by musel, proto, že příliš dá na lidi jako vy, které naštve každé řešení.Podle toho, co píšete, byste nechtěl, aby hodnotami Firefoxu bylo to, že je rychlý, soukromý a svobodný. vy byste chtěl, aby to byl prohlížeč pro konzervativní uživatele Fiefoxu. Na konzervatismu není nic špatného. Akorát si pak nestěžujte, že Firefox ztrácí podíl na trhu. To je princip zaměření se na konzervativní uživatele, protože konzervativních uživatelů nějakého produktu vždy jenom ubývá. Získat nového uživatele konzervativního produktu je velmi obtížné, protože to musí být právě a té hranici, kdy chce používat konzervativní produkt, ale zároveň překoná svůj konzervativní přístup a změní produkt.
-
Ne, nemyslí. Kdyby si to mysleli, dokážou to odůvodnit. Oni jenom mají pocit. Nevědí proč, nepřemýšlí nad tím, prostě jen mají pocit, že je něco špatně.
Což bohatě stačí na to, aby to produkt pohřbilo.
Firefox nejspíš ztrácí víc, než by musel, proto, že příliš dá na lidi jako vy, které naštve každé řešení.
Ano, souhlas. Přesně tím vznikají ty rozpory mezi tím, co by chtěli jedni, co druzí a co se napíše do highlights produktu.
Na prohlížeči se aktuálně nic moc zásadního vylepšit nedá, aspoň ne tak, aby to zajímalo nějakou početnější část trhu. Firefox není nijak dobře zacílený na soukromí, ale pak nevím, proč se tím chlubí. Pokud dělají prohlížeč líp než konkurence, musejí to umět aspoň nějak popsat. Já jsem si žádných výhod (ani zásadních nevýhod) Firefoxu nevšiml.
Kdyby se mě někdo zeptal, jestli a proč používat Firefox, neuměl bych odpovědět nic víc než to, aby si ho vyzkoušel a dal na pocit, jestli se dobře používá. V mém okolí spíš vnímám to, že lidé odcházejí od FF kvůli tomu, že nepřináší nic navíc (znovu: co by měl?), ale že Chrome / Edge jsou lépe propojeni s online službami, vše se jedním kliknutím synchronizuje do služeb, které stejně při své práci stejně používají (google account, ms account).
-
Filip JirsákStříbrný podporovatel
Což bohatě stačí na to, aby to produkt pohřbilo.
Ano. Ale nemyslím si, že by to byla chyba produktu. Možná jen orientace na špatnou cílovou skupinu.Na prohlížeči se aktuálně nic moc zásadního vylepšit nedá, aspoň ne tak, aby to zajímalo nějakou početnější část trhu.
Na prohlížeči je potřeba vylepšovat vykreslovací jádro, aby zůstávalo aktuální, tj. podporovalo nové standardy. Tím, že to bude prohlížeč splňovat, žádné nové uživatele nezíská. Ale když to splňovat nebude, bude je ztrácet.Firefox není nijak dobře zacílený na soukromí, ale pak nevím, proč se tím chlubí.
Možná chtěl cílit na paranoidní uživatele. Což není dobrá volba cílové skupiny.Kdyby se mě někdo zeptal, jestli a proč používat Firefox, neuměl bych odpovědět nic víc než to, aby si ho vyzkoušel a dal na pocit, jestli se dobře používá.
No a vy byste chtěl, aby si uživatel po startu musel sám nakonfigurovat DNS, vyhledávač a bůhví co ještě… Na žádný pocit z Firefoxu jako takového by ani nedošlo, uživatel by utekl už při úvodní konfiguraci.V mém okolí spíš vnímám to, že lidé odcházejí od FF kvůli tomu, že nepřináší nic navíc (znovu: co by měl?), ale že Chrome / Edge jsou lépe propojeni s online službami, vše se jedním kliknutím synchronizuje do služeb, které stejně při své práci stejně používají (google account, ms account).
A to je právě nejspíš ta chyba. Firefox mohl nabídnout propojení s uživatelem zvolenou službou. Nebyl by tedy závislý na Googlu nebo Microsoftu, ale mohl by si sám vybrat, kterou službu bude používat pro synchronizaci nastavení, kterou pro synchronizaci hesel. Jenže Firefox to nejprve vyhodnotil, že uživatelé vůbec nic synchronizovat nechtějí – jenže to říkala akorát hlasitá menšina pár lidí, kteří bezpečnosti vůbec nerozumí, ale mají o to silnější pocit, že cloud je fuj. Pak vývojářům došlo, že uživatelé synchronizaci vyžadují, tak to dodatečně nějak naimplementovali – ale řešili to sami, místo aby jen otevřeli přístup třetím stranám. Oslovili tím pár lidí, kterým leží v žaludku zrovna Google, ale ignorují mnohem větší skupinu lidí, kteří by dali přednost otevřenému řešení před proprietárním. -
@Filip Jirsák
Jo, s posledním postem už souhlasím v podstatě bez výhrad.
Jen nevím, jak to mohli udělat líp. Byli v momentu, kdy jejich základnu opravdu tvořili z větší části uživatelé, kteří změny nechtěli, a kteří si FF drželi právě z uvedených důvodů. Kdyby Mozilla udělala obrat a zaměřila se na to všechno, co píšete, byl by z ní sice moderní produkt (tak, jak to chápete Vy i já), ale rázem bez podpory svých uživatelů. To by znamenalo úplně stejný pád na dno (můžeme se jen dohadovat, jestli by ten propad byl větší, než stejně nastal) a poté by mohli začít budovat reputaci znovu, na nových a smysluplných hodnotách.
Já se nedivím, že se snažili zachránit své "pevné jádro" uživatelů, protože to je lepší než rovnou budovat z nuly.
-
Filip JirsákStříbrný podporovatel
Ten problém nastal už dřív, právě v okamžiku, kdy se Firefox na tyhle uživatele začal orientovat. Orientovat se na uživatele, kteří nechtějí změny, je vždycky krátkozraké.
-
Ten problém nastal už dřív, právě v okamžiku, kdy se Firefox na tyhle uživatele začal orientovat. Orientovat se na uživatele, kteří nechtějí změny, je vždycky krátkozraké.
On se na ně nezačal orientovat. Oni byli jediní, co mu zbyli. Tedy spíš se nezačal orientovat na mainstream dostatečně zavčas. A teď k tomu ještě přidejme úvahu, jestli by se z toho projektu tedy už někdy daleko dřív, nebyl musel stát plně komerční projekt - a jaké by to mělo u publika ohlasy.
Podle mě se prostě o moc prozíravěji rozhodnout nemohli. Asi mohli tušit, že svět ovládnou online služby, ale nemohli tušit, že mimo mainstream bude tak mizivé procento publika.
-
Filip JirsákStříbrný podporovatel
Pro zákon o hazardu je oficiální metodika Ministerstva financí, která říká, že by měl ISP blokovat provoz na svých DNS serverech. Pokud to splní, ale uživatel si DNS přeloží jinak, není to chyba ISP.
Samozřejmě bude hodně záležet na tom, jak se DoH reálně rozšíří. A i pokud by se rozšířilo tak, že by přes to šla znatelná část provozu, bude záležet na lobby provozovatelů hazardních her, zda si u MF ČR prosadí změnu metodiky.
-
Zákon o hazardu platí bez ohledu na to, jestli funguje technické opatření. Provozovat hazard smí jen firma s licencí v ČR. Blokace na úrovni DNS je jen něco navíc, co nenarušuje platnost zákona jako takového. Ostatně, DNS se dá obejít už dnes, nemluvě o VPN do jiných částí světa.
Zajímavá otázka je spíš okolo odpovědnosti. Hráč, který záměrně obchází DNS, může (mohl by) teoreticky být odpovědný za obcházení zákona, dalo by se (hypoteticky) dovozovat i ručení za ušlou daň v ČR. Ve chvíli, kdy takovou technologii přinese prohlížeč, nebo herní klient, pak je aktivní účast na obcházení zákona uživatelem prakticky vyloučena - jedná v dobré víře, a prokázat opak by bylo pro úřady obtížné, ne-li nemožné.
Pokud si představím kombinaci HTTPS + zakrytí SNI + DoH, je prakticky nemožné jakkoliv kontrolovat provoz - tedy i blokovat. To vytváří právně neřešitelnou situaci - spojení může vytvořit uživatel z jedné země do jakékoliv jiné země, aniž by to šlo byť jen zjistit. Fajn, v případě hazardu tedy bude na jednotlivých státech, aby našli cestu, jak tomu zamezit - např. drakonickými postihy uživatele (zoufalá cesta, ale když není žádná jiná..?). Velká právní bitva by byla už jen ohledně zavinění uživatelem - zákon nemůže klást na občana povinnost, kterou objektivně neumí vykonat, např. rozlišit, s kým komunikuje. Pak už zbývá jen postihovat provozovatele - ale suďte se, jako Česká republika, s nějakým poskytovatelem usídleným v zapadlé části světa... Celé je to neřešitelné - jak technicky, tak právně.
Ono se to netýká zdaleka jen hazardu. Týká se to obecně všech služeb a výběru DPH, který je pro evropské země zásadním zdrojem příjmů. Pokud se nenajde žádné řešení, pak si lze představit (z hodně dlouhodobého pohledu) různá řešení: oddělení částí internetu od sebe (pro to dnes hovoří čím dál víc důvodů), ale tomu moc nevěřím - lidé si cestu najdou. Případně přesun zdanění od spotřebních daní a DPH na daně přímé - tedy z příjmu - na tom ztratí většina obyvatel. Může také dojít postupně k úplnému zhroucení významu států, protože hranice už dnes jen obtížně definují pohyb zboží, natož služeb.... Ani jedna vyhlídka podle mě není úplně dobrá, ale nějak se to vyvine :).
-
Jen vsuvka - ten zákon měl být přeci hlavně ochranou před hazardem. Pokud blokaci někdo vědomě obchází, toho se ta ochrana netýká. Pokutovat někoho, kdo nesouhlasí s ochranou je na diskusi, nicméně mně šlo právě o ten právní dopad té ochrany, pokud uživatel neobchází nic vědomě a přesto je ochrana již překonána by-design :-)
-
Ono sa to bude riešiť tak, ako to dnes robia Čína a Rusko:
- je nejaká služba nepohodlná. Nevieme blokovať na úrovni DNS, resp. SNI? Zablokujeme jej IP adresy.
- je na tých IP adresách aj niekto iný? Smola. Buď nech si ju zmenia, alebo nech provider spolupracuje na odizolovaní "narušiteľa". (Týmto vzniká tlak od tých, za ktorých sa chceli pôvodne skrývať).Presne z tohto dôvodu zrušil AWS SNI domain fronting. Regulérni zákazníci na to doplácali, až z toho urobili problém pre Amazon. Ten musel urobiť kroky, ktoré umožnili izoláciu blokovaných od neblokovaných. Bez akýchkoľvek súdov štátov s prevádzkovateľmi v zapadlej časti sveta - ale peniazmi, resp. hrozbou ich straty.
-
Filip JirsákStříbrný podporovatel
Hráč, který záměrně obchází DNS, může (mohl by) teoreticky být odpovědný za obcházení zákona, dalo by se (hypoteticky) dovozovat i ručení za ušlou daň v ČR.
Jenže on zákon neobchází a žádná ušlá daň tam není. Zákon totiž nijak neřeší hraní internetových her, řeší jen provozovatele, banky a ISP. Hráč ve vztahu k internetovým hrám není nijak omezován. -
Jenže on zákon neobchází a žádná ušlá daň tam není. Zákon totiž nijak neřeší hraní internetových her, řeší jen provozovatele, banky a ISP. Hráč ve vztahu k internetovým hrám není nijak omezován.
Však jsem taky psal >hypoteticky<. Tedy, pokud by bylo potřeba, má zákonodárce v ruce i tuto páku. V zákonech se běžně vyskytuje, spoustu věcí nesmíte koupit i přesto, že Vám je někdo prodá.
-
-
Filip JirsákStříbrný podporovatel
Nikoli. Vyhodnocovat rizika znamená, že vezmete ty nejpravděpodobnější varianty, zjistíte jejich pravděpodobnost, dopady, a riziko je pak součin pravděpodobnosti a dopadů. Vy ale nic z toho neděláte. Vy si vymyslíte jednu z milionu možností (asi nemáte moc velkou fantazii), a tu začnete rozpitvávat.
-
Vladimír ČunátStříbrný podporovatel
Hlavně se podle toho jména ověří certifikát, použití defaultního DNS pro bootstrapping osobně nevidím jako problém (přestože pěkné to není). Některé resolvery mají certifikát i na IP adresu (třeba 1.1.1.1 myslím), ale to by byl trochu extrémní požadavek. Ideální by bylo umožnit zadat oboje, ale to Android nedělá (alespoň v mé verzi) a chápu že to je z pohledu UX komplikace.
ČLÁNKY DO MAILU