schors
Кстати о доменах и Национальной системе доменных имен. Вдруг кому-то интересно с ней ознакомиться. Официальные инструкции подключения:
https://usher2.club/docs/Ин...ючению_к_НСДИ_v3.pdf
https://usher2.club/docs/Ут...струкция_по_НСДИ.pdf
schors
#dns ⚡️⚡️⚡️ 12 февраля 2020 должна была состояться очередная церемония переподписи (DNSSEC) корневой доменной зоны. Но что-то пошло не так. Пришлось сверлить сейф. Реальный физический сейф. Процедура затянулась, сейф успешно вскрыли, но с опозданием:
https://twitter.com/joao_da.../1228801833394565121
Мировой DNS спасен. Церемония была проведена:
https://twitter.com/kjd/status/1228868749622566912
Видео с церемонии можно посмотреть на официальном сайте IANA:
https://www.iana.org/dnssec/ceremonies/40
P.S. Хорошо, что всё хорошо закончилось. Уровень заинтересованности и экспертизы заинтерсованных российских органов и организация я «записал в книжечку»
P.P.S. Процессом интересовался мой же чатик в telegram по DNSSEC https://telegram.me/joincha...6jEUFFW5TFS1s3pZMMjg и мой канал
schors
⚡️⚡️⚡️ 12 февраля 2020 должна была состояться очередная церемония переподписи (DNSSEC) корневой доменной зоны. Но что-то пошло не так. Вот начали сверлить сейф. Не фигурально. Реально сверлить физический сейф:
https://twitter.com/joao_da.../1228382028808114177
☝️ Роскомадзор и Минцифра не ответили на запрос канала «Эшер II» по ситуации с подписью корневой зоны (подозреваю, что они до сих пор ищут человека, который бы пояснил им суть вопроса). Координационный центр национального домена RU/РФ так пояснил мне своё видение ситуации: «Координационный центр располагает только публично доступной информацией о переносе Root KSK Ceremony 40 по причине неисправности оборудования. По информации ICANN рисков нарушения безопасности и функционирования DNSSEC нет»
🤘 Кстати. Обратите внимание. Сломался сейф — возникла проблема. Вот так выглядит подход к процедурам безопасности. И да, теперь сверление или запасной сейф в другом штате. А не постулаты «верьте нам, мы же серьёзные» и «ну вы же понимаете»
schors
И раз уж я начал про DNS, сделаю пост для интересующихся (ВНИМАНИЕ — по ссылкам много узкоспециализированной технической информации)
✅ DNSSEC. Руководство регистратора доменов. Декабрь 2016:
Слайды: https://www.slideshare.net/schors/dnssec-71055077
(доклада не существует)
✅ DNSSEC. Руководство оператора. Октябрь 2017:
Слайды: https://www.slideshare.net/schors/enog14-dnssec
Видео Часть 1:
✅ Безопасность DNS. Популярный обзор современных практик. Сентябрь 2018:
Слайды: https://www.slideshare.net/...d-practice-116166410
Видео:
👍 Возможно, под шумок, кто-нибудь решит внедрить DoH, или даже DNSSEC :)
schors
🔥🔥🔥 Есть такая технология — DNSSEC. Она позволяет подписывать ответы DNS (это то, что отвечает например за связь домена и IP-адреса), чтобы ответ нельзя было подделать. Внедрение слабое, но есть (требуйте у вашего регистратора или хостера). Но множество клиентов настроены на проверку DNSSEC, если она есть. Корневая зона подписана. Все основные зоны первого уровня — подписаны (включая RU и РФ). Буквально вчера на Дне Кибербезопасности я рассказывал про DNSSEC
Сегодня должна была состояться церемония переподписи корневой зоны. Это выглядит так — избранные «офицеры» имею свои части секретных ключей. Работает это только если сложить всё вместе. Но что-то пошло не так:
https://twitter.com/theiana.../1227600447289974786
Ключи хранятся в специальном хранилище (HSM), ключи доступа к хранилищу (токены активации) хранятся в специальной сейфе (простите за терминологию, но мне по другому не объяснить, там ларец, заяц, утка и яйцо). СЕЙФ СЛОМАЛСЯ. Криптоофицеры обсуждают, как взломать сейф. Если корневую зону не подписать до 11 апреля, мировой DNSSEC превратится в тыкву. А с ним прекратит нормальное функционирование значительная часть всей системы доменных имен
Кстати. Посмотрел, что пишет об этом российский НЦКЦКЦКЦКЦ и ГосСОПКА:
http://www.gov-cert.ru/
Примерно такая же информация размещена на сайтах Минцифры, Роскомнадзора и Спортлото. Собственно и не то чтобы должны, но при риторике «мимо нас муха не проскочит» я бы назвал это групповым пафосным словоблудием
schors
Я рекламировал программку для Android, реализующую DNS-over-HTTPS: https://play.google.com/sto...details?id=app.intra
CloudFlare выпустила программку и для iOS, и для Android для использования своих защищенных серверов DNS.
Для iOS: https://itunes.apple.com/ru...nternet/id1423538627
Для Android: https://play.google.com/sto...nedotonedotonedotone
Я кстати рекомендую использовать защищенный DNS. Это может не «имба», но это даёт толчок развитию технологий, уменьшает зловредное использование перехвата. Давайте вместе идти из мракобесия к звездам.
schors
31 октября около 23 часов по Москве у Яндекса упал их DNS из Яндекс.Коннекта. Хорошо так упал и полежал. Я не мониторю их DNS, не знаю точно сколько. Не знаю, были задеты публичные кэширующие DNS. Я в это время ужинал (ночью на болоте, да) и просматривал семейно м/ф "Букашки. Приключение в долине муравьев" (рекомендую, кстати). Подхожу я к компу и гаджетам. У меня вся личка в социалочках завалена вопросами: "Роскомнадзор заблокировал DNS Яндекса?" Впрочем, и службе поддержки моего хостинга даже досталось.
1. Роскомнадзор, пожалуйста, сделайте какую-нибудь систему мониторинга чувствительных сервисов. Чтобы сразу было понятно "да, это мы", или "да тут и без нас умельцы нашлись". Выяснять, кто из вас набедокурил со стороны не всегда сподручно.
2. Яндекс, технические проблемы у всех бывают, и не могу сказать, что они у вас выше нормы. Но вы хоть мякните куда для ориентации.
schors
«новость о чем-то не приходит одна». Сегодня день DNS. Внимательные читатели прислали мне ссылку на статью на Хабре с ещё одной новостью. Оказывается, Google недавно тихо и без помпы (и вообще без объявления) открыл на свох 8.8.8.8, 8.8.4.4, 2001:4860:4860::8888, 2001:4860:4860::8844 DNS-over-TLS. Да, настоящий, c SSL-сертификатом в том числе на IP-адреса (последние дни настают, да). Похоже там и DoH есть, но неясно как это проверить и какой URL.
schors
Я знаю, что ничего не знаю. Казалось бы я считаю себя специалистом по DNS, но читатели открыли мне нечно новое. Оказывается существует работающая программа для Android (до 9-ой версии, где это «из коробки») с DNS-over-HTTPS:
https://play.google.com/sto...details?id=app.intra
https://github.com/Jigsaw-Code/Intra
schors
Немного о безопасности и частично о противодействии блокировкам. Как вы помните, я регулярно интересуюсь и разговариваю про DNS: https://www.slideshare.net/...d-practice-116166410
и
Что туда можно поставить, в этот DoH
1.1.1.1 или 1.0.0.1
https://cloudflare-dns.com/dns-query
https://dns.google.com/experimental
если есть IPv6 2606:4700:4700::1111
schors
Ротация ключей DNSSEC прошла более менее успешно. Но конечно сообщают об поломках. У кого-то был на роутерах в микротиках старый ресолвер. Или вот в Monero ключ оказался зашит в код (бу-га-га!!).
schors
Вы наверное помните, что завтра произойдёт отключение интернета (на самом деле — нет) https://rg.ru/2018/09/06/11...ia-vo-vsem-mire.html
Что произойдет на самом деле
Произойдет первая в истории ротация корневых ключей DNSSEC. Можно посмотреть например мой доклад опубликованный мною несколько минут назад на канале для общего понимания, что это. Это затронет ресолверы, которые делают проверку DNSSEC. При том, что проникновение DNSSEC в мире меньше 1%, понятно, что плохо натроенные ресолверы мало на что повлияют даже в случае огромного процента таких ресолверов.
Я системный администратор. Как проверить, что мой ресолвер всё делает правильно?
Волшебной командой:
dig @127.0.0.1 dnssec-failed.org a +dnssec
Если результат SERVFAIL, то всё ок, если домен NOERROR и отдал записи, то начинайте беспокоиться и искать, как это исправить.
schors
Видео моего выступления на Crypto Install Fest 5
«Безопасность DNS. Популярный обзор современной теории и практик».
Проблемы безопасности DNS. Подделка записей и просмотр запросов/ответов. DNSSEC и DNSCurve. Перехват и просмотр запросов ответов. DNSCrypt, DoT, DoH.
➡️
Слайды выложены на Slideshare:
https://www.slideshare.net/...d-practice-116166410
schors
Внезапно рассказывал не о блокировках. Рассказал о современных практиках защиты DNS на CryptoInstallFest https://cryptofest.ru
https://www.slideshare.net/...d-practice-116166410
schors
Я уже несколько лет прошу регистраторов доменов RU/РФ реализовать поддержку DNSSEC в API. На сегодняшний день я не знаю ни одного такого регистратора (именно RU/РФ). Я изучил вопрос и понял, что регистраторы не понимают объём работ, а нормальной разъяснительной документации не то что на русском, да и на английском нет. Есть нудные спецификации c перекрестными ссылками, на которых можно уснуть. Неплохие статьи есть у замечательного сервиса CloudFlare. Но они специфичны для CloudFlare и не раскрывают например части работы с регистратором (и некоторые другие, впрочем).
Я решил сделать мир лучше и подготовил руководство по DNSSEC для регистраторов доменов. Это руководство выполнено в стиле презентации для лучшего восприятия. Однако его можно использовать и как краткий справочник. В нём собраны только те части технологии, которые касаются регистратора домена. Подробно всё разложено по полочкам, даны рекомендации, примеры кода и дополнительные факультативные сведения. Руководство подходит не только для доменов RU/РФ, но и для всех остальных.
schors
Смотрите. Вот у вас машина и рекурсивный DNS. Вы только их включили. Кэши чистые. Вы пингуете с машины... ммм... www.diphost.ru http://www.diphost.ru. Можете описать кто кого что спрашивает, кто кому что отвечает и по какому алгоритму до получения IP-адреса машиной? Спорим - почти никто без специального гугления не ответит?
schors
А есть какой-нибудь сервис, который проверяет DNS-сервера и зону на них? Типа вот тут какой-нибудь тайминг не настроет, тут версия DNS-севрера с багом, несовместимая с чем-то. Я тут начал регулярно ловить проблему "у меня говорит, что домена нет" от клиентов, но не могу понять в каком месте лажа, не могу воспроизвести. Чисто гипотетически это может быть связано с переходом моих DNS с BIND на NSD
schors
А передача зоны AXFR реально проблема на больших конфигурациях? Или это проблема крайне специфичных случаев? Мне поддержка IXFR кажется более сложной и ведущей к косякам, багам и неожиданностям
schors
2015 год на дворе. ни один DNS-сервер не умеет нормально провизионинг делать. BIND эксперементально и без темплейтов, NSD только темплейтами, knot... knot конфиг перечитывает