Книги: "Создание сайтов" - "Доменные войны". Защита информации: техническое описание TLS, тестовый сервер TLS 1.3. Ресурсы: LaTeX
Техническое: домен mil. и DNSSEC
В среду с доменом MIL (это зона для военных структур США) приключилась глобальная проблема: сломалась цепочка DNSSEC, так как опубликованная в корневой зоне DS-запись не соответствовала ключу KSK, опубликованному в зоне MIL. Это означает, что валидирующий резолвер должен выдавать ошибку валидации – и ресурсы, размещённые в зоне, для клиентов такого резолвера оказываются недоступны. Как минимум, нарушилась цепочка, ведущая к глобальному ключу IANA. Интересно, что мало кто проблему вообще заметил, а чинили более 12 часов (связано с кешированием и регламентом обновления зон). Возможно, конечно, что внутри пентагоновских сетей используется другой корневой ключ и другой набор DNS-записей для валидирования – соответственно, их резолверы продолжали работать. На мой взгляд, более вероятно, что DNSSEC там на рекурсивных резолверах просто не используют, как и практически во всём остальном мире.
(Причиной “расклеивания” цепочки могли явиться изменения в настройках серверов имён, либо замена самих серверов, в результате, наружу вылез “не тот ключ”, DS-запись при этом осталась старой. Но это просто догадки.)
Адрес записки: https://dxdt.ru/2015/12/11/7767/
Похожие записки:
- Про цепочки, RSA и ECDSA
- Техническое: связь SCT-меток с логами Certificate Transparency
- Модули DH в приложении Telegram и исходный код
- Удостоверяющий центр TLS ТЦИ
- "Блокирующие" источники случайности в операционных системах
- Ретроспектива заметок: деанонимизация по географии
- Ретроспектива заметок: ключ по фотографии
- DNS как транспорт для сигналов и данных
- Браузеры и перехват TLS без участия УЦ
- Техническое описание TLS: обновление 2022
- Возможное обновление алгоритмов DNSSEC в корне DNS