Wielkie łatanie internetu

[Gość: cjd]

Ignorancja ^ 2
www.kb.cert.org/vuls/id/800113

Wielkie łatanie internetu

[Gość: programista]

Bzdura, po to są certyfikaty SSL, żeby nawet "zatrucie" DNS nie pozwoliło
podszywać się pod stronę - szczególnie np. banku.

[Gość: programista]

(tzn, bzdurny jest komentowany artykuł; a komentarz z linkiem jest poprawny)

[iceberg69]

> Bzdura, po to są certyfikaty SSL, żeby nawet "zatrucie" DNS
> nie pozwoliło podszywać się pod stronę - szczególnie np. banku.

I tak i nie.
Słyszałeś może o serwisie CAcert? Udostępniają bezpłatne certyfikaty SSL,
weryfikując użytkownika przez wysłanie maila na adres e-mail
[e-mail]. W tej chwili ich certyfikat główny nie jest jeszcze
włączony do większości przeglądarek www, ale jakiś czas temu zaczynali proces
prowadzący do tego włączenia. W wielu dystrybucjach Linuksa ich certyfikat jest
już dostarczany razem z innymi, a niektóre prostsze przeglądarki korzystają z
tej listy certyfikatów, zamiast ze swoich wbudowanych.
Do czego zmierzam? Właśnie wykorzystując atak na DNS można uzyskać od CAcert-u
certyfikat do obcej domeny. Wtedy zatrucie DNS wsparte wiarygodnym dla
przeglądarki certyfikatem będzie naprawdę niebezpieczne.

Nie ma zabezpieczeń nie do złamania...

[Gość: Jaś]

Czy weryfikacja tożsamości właściciela certyfikatu za kasę jest
wiele lepsza?

Niech mnie ktoś oświeci np: jak weryfikuje tożsamość VeriSign czy
Thawte?

'...najwięksi gracze w IT: Microsoft ...'

[Gość: Lolo]

Co to znaczy 'gracze'???
'Graczy' to wy tam macie w Legii, Lechii, Lubliniance.
To powazne firmy o ktorej Polsce sie jeszcze nie snilo ...

Naturalnie DNSSEC...

[Gość: Gość]

...będzie współpracował tylko z nowszymi wersjami systemów operacyjnych. Czego to się nie robi żeby wyciągnąć kasę od ludzi. :/

Black Hat za kilka tygodni!!!

[Gość: Gość]

Ciekaw jestem co pan Kaminsky nam powie na konferencji na ten temat. Pewnie sala
bedzie zapchana jak co roku w takich sytuacjach....

Wielkie łatanie internetu

[Gość: iti-man]

pierwszy komentarz wystarczy za wszystkie pozostałe

[iceberg69]

Oh well. Randomizacja portu źródłowego zapytań DNS - wiadomo o tym od
niezmiernie dawna, to miło że w końcu BIND zaimplementował ten feature, sam go
chciałem dopisać do BINDa, ale nie ma co robić z tego wielkiego halo.
Naprawdę istotne będzie, gdy doczekamy się w końcu finalnej specyfikacji DNSSEC,
a najważniejsze serwery DNS zaczną ją implementować. Wstępne prace nad DNSSEC
zaczęły się już w 1990 roku, a ciągle nie udało się wypracować
satysfakcjonującej specyfikacji (choć to już chyba blisko).

[Gość: jura]

Pamietam wyklad z sieci komputerowych. Wykladowca pyta: - Co trzeba zrobic
(...)? Nikt nie odpowiada. Wykladowca podaje odpowiedz: - Trzeba zdownowac linka. :P

Skojarzylo mi sie to z twoim wywodem.

[Gość: aaa]

hehe dnsssec to bzudra, wielka bzdura

nie badz ignorantem

cr.yp.to/djbdns/forgery.html

[iceberg69]

> hehe dnsssec to bzudra, wielka bzdura
> nie badz ignorantem
> cr.yp.to/djbdns/forgery.html

Tak, znam stronę Bernsteina, jego ekscentryczną osobowość i opinię na temat DNSSEC.
Zauważ jednak, że strona którą podałeś odnosi się do pierwszej wersji protokołu
DNSSEC (sprzed RFC 4033), która została całkowicie zarzucona, a protokół
zaprojektowany od nowa.
Aż się prosi, by napisać: nie bądź ignorantem ;)

[Gość: aaaa]

Ekscentrycznie uruchamiam na djbdns spory serwis,
wiec wytlumacz mi w jaki sposob nowy projekt
DNSSEC obala glowne tezy Bernstaina?

[iceberg69]

> Ekscentrycznie uruchamiam na djbdns spory serwis,
> wiec wytlumacz mi w jaki sposob nowy projekt
> DNSSEC obala glowne tezy Bernstaina?

Źle mnie zrozumiałeś, sam chętnie używam djbdns wszędzie tam, gdzie to możliwe.
Nie mniej jednak nie uniemożliwia on ataków typu "DNS cache poisoning" ze
względu na problem z samym protokołem.
Cytując stronę, którą sam podałeś:

Larger cookies in the DNS protocol could make blind attacks practically
impossible. (Caches could achieve a similar effect without protocol changes by
repeating queries a bunch of times with different ports and IDs, at the expense
of speed and reliability.) However, attackers with access to the network would
still be able to forge DNS responses.

Rozwiązania tego problemu mogą być tylko doraźne (jak np. randomizacja portów
źródłowych zapytań) dopóki nie doczekamy się dobrze zaprojektowanego i
zaimplementowanego DNSSEC.

Wielkie łatanie internetu

[wyjadacz_parkietuf]

No to zajefajnie... Wczoraj wyskoczył mi komunikat o instalacji
update'u do Windozy. Po zainstalowaniu i restarcie, komp przestał
się łączyć z siecią. Pomógł punkt przywracania.... Zaprawdę Dzięki
Za Półroczną Łataninę... LOL

[Gość: coldcat]

Czy aby nie używasz firewalla ZoneAlarm? Jesli tak to na twoj problem moze pomoc tylko deinstalacji łatki lub firewalla. Wiecej tutaj dobreprogramy.pl/index.php?dz=15&n=9343&MS08037+blokuje+dostep+do+Internetu+uzytkownikom+ZoneAlarm

[joalbi]

No właśnie mi się wczoraj to samo stało, ale skutki były dość poważne, bo zanim
udało mi się to naprawić (czytaj: przywróciłam system do stanu sprzed
aktualizacji, co najlepszym rozwiązaniem nie jest...) mój czas pracy się
skończył, a więc trochę pieniędzy jestem do tyłu. Dzięki za podpowiedź z tym
Zone Alarm. Wprawdzie preferuję Ubuntu i tam oczywiście net miałam, ale do pracy
konieczny mi jest windows, więc było to przykre doświadczenie.

[Gość: cyklista]

Dokladnie przerabiałem to samo, windows xp legal home edition

Ale tempaki z tej GW

[Gość: Tek]

W wielkiej tajemnicy? Nie wiadomo jak luka? Trzeba być być totalnym
ignorantem, nie rozumiem dlaczego pismaki piszą artykuły o rzeczach o których
nie mają pojęcia, ba nawet nie są w stanie ich zrozumieć biorąc pod uwagę
ilość błędów w tym artykule.

nie tempaki, gorzej

[Gość: aaa]

nie tepaki tylko dziennikarze wzieli lapowke lub/i przyjeli do publikacji tekst
public relations

zatem to spreyciarze, bo nie musieli sie napisac, a zarobili

tekst jest jednak pozalowania godnym kretynstwem

Wielkie łatanie internetu

[hugow]

uff dobrze ze juz zalatali

a vista ...

[mkur]

... nie jest wrażliwa.

Tak jak OpenBSD ;-)

[Gość: gt]

za przeproszeniem - co ma twoja vista czy BSD wspolnego z serwerem DNS stojacym
gdzies za oceanem np? ehh ludzie.

[mkur]

Sprawdź swoją głowę...

Sprawa dotyczy tak samo klienckiego resolvera jak
cachującego serwera dns.

Stąd synchronizacja z wtorkiem patchowania
(to do wszystkich miłośników XP ;-)