Почему никто не использует DNSSEC?

Realist

Очевидно, что в современном мире проблема фишинга является основной.
Для борьбы с ней давно изобретен DNSSEC — DNS записи подписываются (начиная от корневого домена). Правда, половина доменов верхнего уровня эту фичу не поддерживают.
verisign.com подписан
idiot.ru НЕТ!1
А вы подписываете свои DNS записи? Почему нет?

YUAL

Очевидно, что в современном мире проблема фишинга является основной.

Основной проблемой в мире является то что большинство людей - идиоты. На втором месте то что все люди смертны, а не только идиоты. Ну и далее по списку - http://ru.wikipedia.org/wiki/%D0%93%D0%BB%D0%BE%D0%B1%D0%B0...
Если ты про проблемы в интернете, то тут тоже дофига проблем важнее фишинга.
В третьих dnssec не единственный и далеко не самый эффективный сопособ борьбы с фишингом, как минимум потому что dns poisoning не самый популярный метод фишинга да и использование https решает эту проблему.
Ну и я подписываю. Не сложно, карман не тянет.
Только толку от этого собственно никакого во-первых потому что я неуловимый джо, а во-вторых у меня везде https.

Werdna

Очевидно, что в современном мире проблема фишинга является основной.

Тут уже отписались, что https в принципе решает эту проблему, я отмечу, что — НЕТ, НЕ РЕШАЕТ!
Как минимум для надёжной защиты почты на домене нужен DNSSEC, ибо MX записи можно легко подделать. Плюс можно заменить другие важные штуки — DKIM ключик, например.
Далее, ещё такое дело. Даже если у вас https-only сайт, часто люди заходят браузером на http, который делает редирект на https.
Ну и, как говориться, кашу маслом...

Realist

Вот тут считатют иначе
http://dnssec-debugger.verisignlabs.com/gmail.com
Все таки, что важнее: PGP или DNSSEC?
Давайте поговорим о пиниге сертификатов :grin:

Realist

Основной проблемой в мире является то что большинство людей - идиоты.

Это начало демагогии :grin:

В третьих dnssec не единственный и далеко не самый эффективный сопособ борьбы с фишингом

Статистика говорит об обратном! :grin:

apl13

Если ты про проблемы в интернете, то тут тоже дофига проблем важнее фишинга.
В третьих dnssec не единственный и далеко не самый эффективный сопособ борьбы с фишингом, как минимум потому что dns poisoning не самый популярный метод фишинга

Вот тут считатют иначе
http://dnssec

YUAL

Это начало демагогии

Это основа жизни.

Статистика говорит об обратном!

Да ты чё! А можно ознакомиться с этой статистикой? Потому как вот тут пацаны (такие как касперский, макафе, симантек, дигицерт) пишут преимущественно про email-phishing. Может они тоже твоей статистики не видели. Напиши - я им перешлю.

vall

Даже если у вас https-only сайт, часто люди заходят браузером на http, который делает редирект на https.

это решается hsts

YUAL

Мне иногда кажется что пианист работает на или против "анонимного интернационала". Посты про уровень жизни на рублевки перемежаются с рассказами о лёгкости подделки mx записей.

Werdna

это решается hsts

Не решается ни разу. Если я сижу перед тобой, ты делаешь http запрос, я тебе что хочешь отвечаю и веду куда хочешь любыми заголовками.
В том-то и ирония, что только DNSSEC и защитит тебя, ибо в браузере есть достоверные публичные ключи на верхние зоны, которыми подписывают твой домен и ты уже потом свои ответы.
А так — не факт что вебсервис даже сигнал получит что ты пытался на него зайти.

Werdna

рассказами о лёгкости подделки mx записей

Ну как бы если ты шлёшь из Гмыла, то у них есть DNSSEC, но если у тебя твой домен не защищен, то запросто атакой на твой DNS сервер можно направить почту через куратора какого. Причем ты же даже знать не будешь, что твоя переписка идёт через левый сервак. Вот прямо вообще никак не догадаешься, так как всё будет работать.
Задумайся, доверяешь ли ты своему DNS провайдеру? А всем шлюзам от Гмыла до него?

YUAL

Я ничё не понял. Кто как и какой будет сервак атаковать?
P.S. У гмыла как раз таки нету dnsssec записей.

vall

Не решается ни разу. Если я сижу перед тобой, ты делаешь http запрос, я тебе что хочешь отвечаю и веду куда хочешь любыми заголовками.

сработает только в первый раз. а это уже решается hsts preload.

Оставить комментарий