Názory k článku TCP ve světě DNS: více dat a méně útoků

dokonca ani ak server podporuje DNSSEC
DNSSEC falšování odpovědi zabrání (pokud tedy klient odpověď validuje) – právě k tomu slouží. Nezabrání tomu, aby někdo tu DNS odpověď zrušil – ale to už je pro klienta podezřelé.

Takový útok na DNSSEC není možný – není možné nenápadně zatajit část informací. Pokud přijede odpověď bez podpisů (nebo s neplatnými) a ty tam mají být, tak to resolver pozná a vrátí SERVFAIL. To je princip DNSSEC, nikdo nemůže po cestě ty informace měnit nebo zatajit existenci DNSSEC.

Samozřejmě je možné odpovědi prostě zatajit, což je logické – DNSSEC jsou podpisy, ne křišťálová koule. Takže odpovědi, které nedorazí, nedokáže vyvěštit.

Nepravda. Začátek řetězce je u kořenové zóny, o které resolver bezpečné ví, že má být podepsaná. Má k dispozici otisk jejího veřejného klíče. Takže tohle není možné obejít. No a pak řetězec pokračuje – pokud je v kořenové zóně DS záznam pro .CZ, pak resolver ví, že ta zóna musí být podepsaná a pokud… a tak dále. Takže ten řetězec je nepřerušitelný bez toho, aby si toho resolver všiml.

To, že není v DNS DS záznam, poznáte podle (případně podepsané) odpovědi „neexistuje“. Pokud na dotaz na DS záznam nedostanete žádnou odpověď, neznamená to, že záznam neexistuje, ale že někde v síti něco nefunguje tak, jak má.

Obě varianty jsou podepsané: to že zóna má DS záznam i to, že ho nemá. Není možné to popřít bez podpisu. Resolver to bude považovat za nevalidní.

Přibližně 30 % uživatelů je připojeno k validujícímu resolveru, validuje Google a třeba i všichni naši mobilní operátoři. Je třeba si víc všímat.

Tenhle nesmysl jste napsal už několikrát. Pokaždé se vám dostane vysvětlení, jak DNSSEC funguje, a vy to stejně příště napíšete znovu. To máte problém si zapamatovat, jak DNSSEC funguje, nebo prostě jenom trollíte?

DNSSEC je funkcne proti nahodnym utocnikom, ale nie ked "utocnik" ma pod kontrolou celu siet (resp. je siet).
To není pravda. Ani pokud má útočník pod kontrolou celou síť, nedokáže podvrhnout DNSSEC. Jediné, co dokáže, je „zabavit“ odpovědi – jenže když se uživateli nepodaří přeložit doménové jméno, u kterého si je jist, že by mělo existovat, přijde na to, že mu odpovědi někdo cenzuruje.

Falsovatel na urovni ISP alebo vlady mi posle "svoju" odpoved na moj DNS request. A v tej sfalsovanej DNS odpovedi nie je o DNSSEC ani zmienka.
Jenže z nadřazené domény vím, že tam DNSSEC má být. Takže vím, že ta odpověď je falešná.

Takze si mozem vybrat, ci zahodim odpoved, v ktorej DNSSEC nie je aj ked ja by som ho tam ocakaval, alebo ci zozeriem aj s navijakom, co v tej odpovedi je.
Proč bych používal zfalšovanou DNS odpověď? Vím, že je zfalšovaná, tak za prvé budu řešit, kdo na mne útočí, a za druhé se pokusím správnou odpověď získat jiným způsobem.

Skoda len, ze nech sa rozhodnem akokolvek, ja neviem spravnu IP-adresu a cenzor je rad, ze ma zablokoval.
Jenže vy víte, že došlo k manipulaci s DNS odpovědí, takže můžete tu adresu přeložit jinak. Třeba VPN tunelem do nějaké bezpečné sítě.

lenze v praxi je mi uplne nanic, ze som sa dozvedel, ze odpoved je podvrhnuta
Vám je to možná a nic. Pro mne je to zásadní informace, která mi umožní za prvé pátrat po tom, jak je možné, že dostávám podvržené odpovědi, za druhé zkusit získat validní odpověď jinou cestou.

mozem skusit stazovat u ISP (u toho, co mi falsuje DNS odpovede)
Odpovědi může falšovat někdo jiný, než ISP.

toho ISP zazalovat na sude (toho statu, ktoreho vlada tomu ISP to cenzurovanie internetu nariadila)
K falšování DNS nemusí docházet jen na základě rozhodnutí státu. Naopak v demokratickém státě by jen těžko stát nařídil falšování DNS.

Najpragmatickejsi postup v takejto situacii je teda nevyzadovat na svojom resolveri validaciu DNSSEC, pocitat s tym, ze DNS je skratka dokurvene (a s cenzurou sa vysporiadat uplne inac).
Nejlepší postup je vykašlat se na pohádky o státní cenzuře a začít řešit reálné problémy – tedy falšování DNS nestátními útočníky.

pokial viem, cielom DNSSEC ani nikdy nebolo uplne znemoznenie cenzury cez DNS
Ne, cílem DNSSEC nikdy nebylo znemožnit cenzuru, protože to v té většině světa, kde bylo DNSSEC navrhováno, není reálný problém. A v té menšině států, kde k cenzuře skutečně dochází, se to stejně musí řešit politicky, technicky to řešit nejde.

len popisujem iste veci, ktore sa deju
Když mohou v Číně zakázat přístup na nějaký web a řešit to Velkým čínským firewallem, nebude pro ně problém úplně stejně řešit i jakékoli jiné technické řešení. Pokud by bylo možné blokování DNS obejít TCP spojením s TLS, prostě zakážou DNS dotazy přes TCP s TLS.

Proč o DNSSEC pořád diskutují lidé, kteří se ani neobtěžují zjistit, jak DNSSEC funguje? Podepsaná je kořenová zóna, každý validující klient má u sebe veřejný klíč kořenové zóny. Dotaz na nějakou doménu vždy směřuje do nadřazené domény, ze které přijde jedna za tří možných podepsaných (pokud daná zóna podporuje DNSSEC) odpovědí: hledaná doména neexistuje, hledaná doména má server tam a tam a následující DNSSEC klíč, nebo hledaná doména má server tam a tam a DNSSEC nepoužívá. Takže pokud jsou všechny domény v cestě od požadované domény až ke kořenové podepsané, musejí být podepsané všechny odpovědi a klient je vždy může ověřit v nadřazené zóně, až kořenovou zónu ověří proti uloženému klíči.

Jak to tedy bude vypadat, když ISP validaci „prostě vypne“? Ano, správně, klient bude mít z nadřazené domény informaci, že doména DNSSEC používá, a přitom dostane odpověď bez DNSSEC. To je jeden ze dvou nejtypičtějších útoků, proti kterým má DNSSEC bránit, a všichni, kdo pracují s DNSSEC, samozřejmě vědí, že klient musí takovou situaci vyhodnotit jako pokus o útok.

Ano, pokud někdo DNSSEC nevaliduje, nijak mu nepomůže. Ale na tom nevidím nic překvapivého. Když někdo nebude ověřovat HTTPS certifikáty, taky je mu HTTPS k ničemu. Pokud někdo čekal, že DNSSEC pomůže i těm, kteří ho nevalidují, je to jeho problém. Validovat DNSSEC může každý.

Ještě doplním, že validaci dělá více než 30 % uživatelů – validuje spousta velkých DNS resolverů, třeba ten od Google nebo českých mobilních operátorů.

Resolver a DNS server nemusí být to samé ... a většinou ani není, bych si tipnul.

Podporou IPv6 jsem myslel to, aby uměl po IPv6 komunikovat. K odpovědím na DNS dotazy klientům dnes patří DNSSEC, to už jsem psal. S tím, že transfer zón přes DNS je hloupost, souhlasím.