Názory k článku Projekt DNS Violations: jak se porušuje DNS protokol

Skvělá práce!

Je k dispozici nějaký test, který lze spustit na své DNS servery? Sice neimplementuji vlastní DNS, ale stejně bych chtěl otestovat, že třeba klíče mám v pořádku a servery jsou správně nastavené.

Nedodržování standardů je bohužel na Internetu standardem. Před časem jsem četl krásný rozbor (myslím, že to bylo jedno RFC, ale nemůžu ho najít), že na světě neexistuje implementace RADIUSu odpovídající specifikaci.

Podobně jsem před časem testoval, co udělá SMTP server, když mu v DATA pošlu řádku teček. Ani jeden to nezpracoval podle standardu (podle standardu má umazat první tečku a zbytek řádky považovat za message, v praxi některý smazal polovinu teček, některý všechny, některý žádnou, ale ani jeden nedělal to, co má).

Běžně používané znáslinění BGP protokolu, kde se poslení číslo v seznamu AS nepovažuje za AS, ale počet opakování předchozího AS, před časem shodilo Internet na půlce světa, když někdo zadal serveru cestu přesně podle specifikace.

Nedělám si uluze, že exisuje jedna jedinná přesná implementace jedné jedinné specifikace.

A to proto, že specifikace popisuje algoritmus zpracování zpráv a strukturu dat povětšinou jako text. Ten každý pochopí jinak a problém, je na světě. Kolegu jednou s jeho implementací nějakýho protokolu vyhodili z certifikace (4 týdny, 1000USD) na jistou nálepku na krabičce proto, že špatně pochopil jednu větu ve specifikaci protokolu.

U internetových protokolů není ani žádná certifikační autorita, přes kterou by musel server projít a která by řekla, že to mají blbě...

No, je to děs. Standard je, když dostanu tabulku se seznamem chyb a převedu ji na enum, ale nikdo neřekne, jestli při špatným počtu parametrů příkazu mám použít E_INVALID_COMMAND nebo E_CHECKSUM_ERROR - kód příkazu je validní, CRC sedí, jenom nesedí počet parametrů. Vhodnější hodnota tam není a přidat vlastní pochopitelně nemůžu... A v tu ránu mám hned jako autor SW 50% jistotu, že je něco blbě.

Samozřejmě E_INVALID_COMMAND, protože příkaz není platný, jelikož nemá správný počet parametrů. Příkaz je to celé, i s parametry, ne jen kód příkazu (to by se chyba musela jmenovat E_INVALID_COM­MAND_CODE nebo E_UNKNOWN_COMMAND). S checksumem to nemá nic společného.

Chudak kolega, urcite tam dostal 100 otazok a 1 otazku nezodpovedal a za to ho vyhodili :-( . Smutne.

Co to meles, jake znasilneni BGP? Nepletes si to s BGP prepending? AS_PATH je jasne definovan v RFC, tam neni zadny nasobitel AS.

To bude asi preklad pro hijack..

Velice poucne, diky Ondreji.

A je v poradku dle RFC mit v DNS zaznamy:

honza.doma IN A 1.2.3.4
?
nebo jedina korektni cesta je udelat subdomenu doma a az v teto zone vytvorit
honza IN A 1.2.3.4
?

Hodne casto vidim totiz pouzivat tu prvni moznost.

To je uplne jedno ... protoze subdomenu v principu potrebujes leda v okamziku, kdy ji hodlas delegovat na jiny dns. Jinak si klidne muzes delat zaznamy typu ferda.fcera.ve­cer.nebyl.doma IN ...

Jina vec se samo prehlednost/spra­vovatelnost ... tzn je to technicky jedno, ale jakmile tam takovych zaznamu budes mit par stovek nebo tisic ...

Podle RFC by pro honza.doma měla existovat prázdná doména doma ( dig doma.… by měl vrátit NOERROR a ne NXDOMAIN). Nicméně správně implementovaný DNS server by měl tuhle pomocnou doménu automaticky vytvořit a vám by mělo stačit do konfigurace zóny napsat to první.