Před třemi týdny se našim kolegům ze švédského doménového registru přihodilo to, co bych bez nadsázky nazval noční můrou doménových správců – vystavení poškozeného zónového souboru. Tento soubor je klíčovým prvkem pro fungování systému doménových jmen DNS. Jsou v něm uložené všechny domény druhé úrovně pod doménou „.se“ spolu s odkazy kam směrovat dotazy na tyto domény. Zmiňovaná chyba tak způsobila, že odhadem minimálně na hodinu přestaly být dosažitelné všechny adresy s koncovkou „.se“. Pojďme si postupně projít co se vlastně stalo a zejména jakým způsobem je provoz našeho vlastního registru zabezpečen proti tomu aby se něco podobného přihodilo i nám.
Správci švédské domény .se si v našem oboru drží dlouhodobě poměrně vysoké renomé. Jako první zavedli DNSSEC a na odborných konferencích často vystupují s novinkami, které implementovali do svých systémů. V pondělí 12. října měli naplánovanou rutinní odstávku systému spojenou s nasazením nové verze. Přestože, podle zveřejněných informací, i jejich vývojový cyklus obsahuje sadu testů, které musí nová verze splňovat, ze zatím nezjištěných příčin prošel přes tuto fázi kód, který obsahoval chybu. Ta spočívala v chybějící tečce na konci doménových jmen ve vytvořeném zónovém souboru – místo „.se.“ zde bylo uvedeno pouze „.se“. Nameserver načítající tento zónový soubor tím pádem pokládal všechna doménová jména jako relativní a připojil ke každému ještě jednou „.se.“. Takto poškozený zónový soubor se začal propagovat ve 21:39. Ve 21:50 monitorovací systémy začali hlásit, že v publikované zóně je chyba. Administrátoři na to zareagovali tak, že vzali poslední správně vytvořený zónový soubor a po zvýšení sériového čísla ho ve 22:35 publikovali. Vzhledem k tomu, že celá zóna .se je podepsaná pomocí DNSSEC a že sériové číslo je součástí SOA záznamu, došlo jeho změnou k invalidaci podpisu tohoto záznamu a pro DNSSEC validující resolvery tedy byla tato zóna stále nedostupná. Tento krok ale zabezpečil dostupnost domény pro většinu uživatelů. Finální, nově podepsaná zóna byla publikována v 0:35. Ponechme nyní stranou Švédy a podívejme se jakým způsobem se podobnému nedopatření snažíme vyvarovat my. V zásadě se jedná o dva doplňující se procesy a to testování nových verzí před nasazením a monitoring produkčního prostředí.
Již v průběhu vývoje programátoři používají širokou sadu automatizovaných testů, s jejichž pomocí kontrolují zda nové změny nezanesly chybu do dříve fungujících částí systému. Po dokončení všech kontrol provedou vývojáři označení nové verze v systému pro správu verzí SVN a spolu s postupem upgradu předají tuto verzi administrátorům. Ti s pomocí vlastního nástroje zajistí zabalíčkování nových verzí změněných komponent pro všechny platformy na kterých systém provozujeme. Kompletní konfigurace systému včetně verzí balíčků je uchovávána v centrálním repositáři a pomocí nástroje Puppet jsou veškeré změny distribuovány na patřičná místa. Abychom zajistili bezproblémový upgrade, vytvořili jsme pomocí technologie virtualizace KVM kompletní kopii produkčního prostředí jedné lokality, čítající v tuto chvíli pět propojených serverů. Administrátoři zanesou postup upgradu do Puppetu a s jeho pomocí tento postup aplikují na testovací lokalitě. Poté spolu s vývojáři otestují výsledek buď manuálně nebo opět sadou automatizovaných testů. Teprve pokud nenastane žádný problém, je možné novou verzi pomocí otestovaného postupu nasadit na skutečné produkční prostředí.
Běžící systém je monitorován obrovskou sadou periodických testů, které zkoumají všechny možné aspekty jeho chování od stavu síťových zařízení, přes různé zkoušení registrací na registrátorském rozhraní až po testy zda se odesílají správně faktury. Všechny tyto kontroly jsou implementovány jako moduly do monitorovacího nástroje Nagios. Výstupy těchto kontrol jsou klasifikovány podle důležitosti a reportovány pomocí e-mailů nebo SMS zpráv administrátorům. Celý systém je podporován vizuální a hlasovou signalizací umístěnou v prostorách našeho klienského centra. Operátoři pracující v tomto prostoru 24 hodin denně a 7 dní v týdnu neprodleně administrátorům volají pokud signalizace hlásí nějaký problém. Vraťme se ale k publikování zónového souboru. K tomu dochází automaticky jednou za půl hodiny a i tento proces obsahuje několik kontrol. Vedle kontroly integrity souboru je hlavní kontrolou test na počet změn v tomto souboru. Pokud počet změn přesáhl určitou hranici je proces zastaven a administrátoři musejí provést ruční kontrolu těchto změn. Pokud kontrola zjistí, že se opravdu jedná jen o velký počet změn v delegacích je zóna publikována a automatický mechanismu obnoven.
Bylo by krásné na tomto místě napsat – nám se nic takového stát nemůže, ale nebyla by to pravda. Všechny systémy jsou nakonec nějakým způsobem závislé na lidech. Jak se zdá, i ve Švédském případě mají podobné procesy, ale pravděpodobně někdo neotestoval to co měl a ještě navíc někdo neposoudil nějakou signalizaci monitoringu jako kritickou a vypnul jí. Tomu je možné předejít pouze výběrem zodpovědných pracovníků a jejich častým školením a tréninkem. Věřím, že v tomto ohledu jsou naši zaměstnanci muži (a ženy) na správném místě.
Jaromír Talíř
Další zpoždění nových gTLD
Celkem nedávno se staly dvě události, které budou mít vliv na vznik nových generických domén nejvyšší úrovně. Za prvé, ICANN vydal již třetí verzi podmínek pro žadatele o tyto domény. Z podmínek poměrně jasně plyne, že proces nebude příliš rychlý, jen obtížně bude možné spustit doménu dříve než za tři čtvrtě roku. Podmínky stále ještě nejsou definitivní, komunita neustále posílá připomínky. Tuto verzi můžete komentovat do 22. listopadu. Na spuštění celého procesu už netrpělivě čekají žadatelé o domény jako .sport, .eco, .gay, …
V podstatě v podobný okamžik jako ony podmínky byla vydána dlouho očekávaná studie o škálovatelnosti kořenové zóny. Dokument má sice 85 stránek, ale doporučuji přečíst alespoň executive summary. Závěrem dokumentu je, že není rozumné zavádět najednou nové domény a DNSSEC. A autoři doporučují, aby technologie DNSSEC měla prioritu. Jak Vás nedávno informoval kolega Surý, zavedení DNSSEC má už svůj pevný jízdní řád a tedy nové generické domény si musí počkat.
Trochu jiná je situace u IDN národních domén, které by měly být přidělené v tzv. procesu fasttrack. Ten je určen pro státy, které mají urgentní potřebu zavedení národní domény nejvyšší úrovně v IDN. Tedy například zástupci Ruská Federace požadují doménu .РФ (.RF v azbuce). Stejně tak urgentní potřebu mají některé arabské země, pak Čína, Japonsko a podobně. Pro tento proces je už připraven finální implementační plán, jehož schválení na 99 % proběhne už příští týden na zasedání ICANN. Zavedení malého množství těchto domén (očekává se cca 50) by tedy mělo jít rychle. Uvidíme, zda-li i delegace těchto domén budou vnímány jako zásadní rozšíření kořenové zóny nebo zda-li budou zavedeny současně s DNSSEC. Vzhledem k mezinárodnímu tlaku na jejich vznik spíše očekávám, že budou nastartovány rychle. Nepřekvapilo by mě, kdyby se tak stalo už tento rok.
A co vy na to? Chceme doménu .čr? Chcete nějakou novou generickou doménu? Požádáte si o ni?
Ondřej Filip
S DNSSEC se ve světě roztrhl pytel
Není to tak dávno, co jsem zde psal o zavedení DNSSEC u domén Švýcarska a Lichtenštejnska. Skoro vzápětí ohlásil kanadský doménový registr CIRA na konferenci SecTor, že zahájil testovací provoz podepsané domény .ca.
Kompletní informace lze nalézt na stránkách registru CIRA, zde zmíním jen pár detailů. Testovací provoz probíhá na samostatných DNS serverech, tak aby nebyl narušen normální provoz. Pro podpis je použit algoritmus NSEC3 RSA-SHA1. Velikost zónového souboru vzrostla z 180MB na 670MB. Ještě doplním, i když určitě nechci naši roli přeceňovat ani nás nějak chválit, že s námi, s CZ.NIC správci kanadského národního registru některé důležité detaily konzultovali.
Pokud byste chtěli vyzkoušet, jak funguje DNSSEC v zemi javorového listu, máte dvě možnosti. První je použít rekurzivní DNS server unbound a nakonfigurovat v něm stub zónu takto:
stub zone:
name: “ca.”
stub-addr: 192.228.22.190
stub-addr: 192.228.22.189
stub-prime: “no”
Tento kousek konfigurace způsobí, že pro doménu .ca se budou používat jiné nameservery. Následně z výše zmíněné stránky musíte stáhnout soubor ca.conf a přidat jej do konfigurace:
server:
trusted-keys-file: "/etc/unbound/ca.conf"
Pro DNS server Bind 9 není možné nastavit konfiguraci tímto způsobem a proto byly připraveny forwardující DNS servery, které můžete použít takto:
zone “ca.” IN {
type forward;
forwarders { 66.241.135.248; 193.110.157.136; };
}
Tato část konfigurace způsobí, že se váš DNS server Bind bude pro dotazy směřující do domény .ca ptát speciálních rekurzivních DNS serverů.
Pro následné ověření, že jste konfiguraci provedli správně, můžete vyzkoušet kanadskou obdobu naší české domény http://www.rhybar.cz/ (tato stránka se při zapnuté DNSSEC validaci nezobrazí) na adrese http://broken.xelerance.ca/.
Ondřej Surý
DNSSEC na domácí scéně, další známé domény podepsány
V poslední době jsme zde poměrně často oznamovali, jaké další národní registry představily svoje plány s DNSSEC. Dnes budeme ve zprávách o této technologii pokračovat. Tentokrát ale zůstaneme u nás, na české scéně.
Od dnešního dne chrání DNSSEC návštěvníky stránek iHNed.cz. Tato doména sloužící především Hospodářským novinám má „pod sebou“ celou řadu dalších poddomén. Bezpečněji se tak teď mohou cítit i čtenáři internetového Respektu, Ekonomu, Marketing a Média a celé řady dalších periodik.
Kromě vlajkové domény nakladatelství Economia je tu ještě jedna zajímavá, podepsaná internetová stránka. Exekutorská komora České republiky nechala v nedávné době zabezpečit doménu www.portaldrazeb.cz.
Do skupiny již dříve podepsaných internetových stránek Lidových novin, Hypoteční banky, Lupy a dalších tak přibyla dvě jistě zajímavá, důležitá a reprezentativní jména.
Vilém Sládek
Volkswagen v. DENIC: registrace dvou- a jednopísmenných domén pod .DE
V německé národní doméně .DE platilo donedávna jednoduché pravidlo: jako doménu druhé úrovně nelze zaregistrovat nic, co má méně než tři znaky. DENIC se všem žádostem o registraci takových domén usilovně bránil, a to s odkazem na RFC 1535 a skutečnost, že všechny ccTLD používají dvoupísmenné kódy (country codes) a do budoucna nelze vyloučit, že budou představeny další. Ty by se pak ocitly v nevýhodě oproti ostatním.
S tím je ovšem konec. Německý Nejvyšší soud (der Bundesgerichtshof) rozhodl, že DENIC musí doménu vw.de zaregistrovat automobilce z Wolfsburgu. Představenstvo DENIC se v této souvislosti rozhodlo jedno- a dvoupísmenné domény uvolnit pro registraci.
Jak uvádí DENIC na svých stránkách, od 23. října 2009 začne platit nová směrnice pro registraci domén v národní doméně .DE, kterou budou odstraněna dosavadní omezení: bude možné si registrovat jedno- i dvoupísmenné domény, stejně tak domény obsahující jenom číslice.
Volkswagen má již svoji doménu jistou. Ostatní, kteří chtějí získat některou z dosud nepovolených doménových jmen, mohou již nyní posílat žádosti svému poskytovateli – registrátorovi (viz http://www.denic.de/en/denic-domain-guidelines.html). Registrace budou spuštěny 23. října 2009 v 9 hodin a řídit se budou nám známým principem „first come, first served“.
Pro nepamětníky doplňuji, že podobná omezení existovala i v České republice. Nepovolené dvoupísmenné domény shodné s ISO kódy zemí (a jinými ccTLD) a generickými TLD však nebyly uvolněny najednou, ale nabídnuty v březnu 2002 ve veřejné dražbě. Z 250 nabídnutých bylo vydraženo 138 domén za částku téměř 1,7 mil. Kč, výtěžek dražby byl věnován na konto Paraple.
Zuzana Durajová
Další DNSSEC exotika
Po poměrně překvapivém vstupu domény .NA na DNSSEC scénu došlo ve čtvrtek 15. října k popisu další domény, kterou rozhodně nemůžeme nazvat běžnou. Jde o podobně pojmenovanou doménu .NU a pohledem do databáze IANA zjistíme, že jde o doménu Niue, což se malý státeček v Jižním Pacifiku s vazbami na Nový Zéland.
Tahle doména je celkem zajímavá. Je zcela liberalizovaná, tedy kdokoliv si může doménu v .NU volně zaregistrovat. Je poměrně komerčně úspěšná a část výnosů z prodeje je použit na pokrytí celého státu WiFI signálem. Kdekoliv v Niue tedy můžete otevřít notebook a měli byste mít přístup na Internet.
Doména .NU je obzvláště populární zejména ve Švédsku, protože NU údajně znamená ve švédštině TEĎ.
Jen pro úplnost, .NU používá modernější standard NSEC3 a klíč již byl publikován v úložišti ITAR.
Ondřej Filip
Další ovečky do DNSSEC ohrádky
V úterý (21. září 2009) došlo k podpisu dalších dvou národních TLD. Organizace SWITCH, správce národních domény Švýcarska a Lichtenštejnska, oznámila podpis domén .ch a .li. Obě tyto národní domény jsou podepsány pomocí technologie DNSSEC. Neexistence domény je řešena pomocí standardu NSEC3, bez možnosti opt-out. Klíče obou domén můžete zjistit příkazem dig +multi IN DNSKEY CH. a dig +multi IN DNSKEY LI.. Ke zveřejnění klíčů a jejich vložení do registru ITAR by mělo dojít během několika málo dní.
Každý měsíc teď už přicházejí zprávy o zavedení DNSSEC v další a další doméně nejvyšší úrovně. Český registr již eviduje více než 1 000 domén, které DNSSEC chrání. Nedá mi tedy než se nezeptat: „A co vy? Už jste také podepsali?“
Ondřej Surý
Novinky z domény .eu
Na nedávném setkání EURidu s registrátory došlo ke dvěma očekávaným oznámením. První je jistě poměrně bezkonfliktní; EURid ohlásil, že 13. října spouští DNSSEC testbed. K tomu lze EURidu jen pogratulovat. Doufejme, že testy dopadnou dle očekávání a doména .eu se rychle dostane na seznam „podepsaných“ domén.
Druhá zprávička (aktualizace: 26. března 2014) jistě bude zajímat mnohé stávající držitele .eu domén. EURid oznámil, že 10. prosince spouští v doméně .eu IDN, tedy že od tohoto dne bude možné registrovat domény s háčky, čárkami, přehláskami, v řeckých znacích, prostě v písmech všech oficiálních evropských jazyků. Seznam povolených znaků lze nalézt zde. Poměrně zajímavý je fakt, že start IDN nebude předcházet sunrise perioda nebo-li, že 10. prosince se registr otevře IDN a kdo si jakou doménu zaregistruje, tu bude mít a to bez ohledu na držitele stávajících domén či držitele ochranných známek. Poněkud mě překvapuje, že na toto téma zatím není u nás vidět žádná diskuse.
Bude velice zajímavé sledovat, jak tento krok ovlivní diskusi o IDN i v naší doméně .cz.
Ondřej Filip
Předběžná opatření ve věcech doménových jmen a novela občanského soudního řádu
Poměrně častým institutem, který využívají ti, do jejichž práv je zasahováno registrací doménového jména, je podání návrhu na vydání předběžného opatření.
Ani tentokrát vás nezklamu a tak i nyní trochu opakování z teorie: předběžné opatření je vydáváno obecnými soudy, pravomoc vydat jej nemá Rozhodčí soud při Hospodářské komoře ČR a Agrární komoře ČR. Účelem je buď zatímní úprava poměrů účastníků, tzn. do vydání rozhodnutí ve věci samé, nebo je vydáváno tehdy, je-li obava, že by byl ohrožen výkon soudního rozhodnutí. Nejedná se tedy o konečné rozhodnutí, pouze o dočasnou úpravu právních poměrů.
V zákonem stanovených případech je navrhovatel povinen skládat jistinu, která slouží nejen jako prevence šikanózních návrhů, ale také jako kauce na náhradu újmy (penězi vyjádřitelné škody i nepeněžní újmy), kterou je navrhovatel povinen nahradit, pokud předběžné opatření zaniklo nebo bylo zrušeno.
A právě novela občanského soudního řádu, která vyšla na konci července pod číslem 218/2009 Sb., mění výši těchto jistot – z 50 tis. na 10 tis. Kč a v obchodních věcech ze 100 tis. Kč na 50 tis. Kč. Právě druhá uvedená částka se týká sporů o doménová jména – většina z nich je totiž obchodněprávních (ochrana obchodní firmy, nekalá soutěž, ochrana průmyslového vlastnictví…). Pokud tedy někdo nepodal před zahájením sporu návrh na vydání předběžného opatření právě s ohledem na výši jistoty, snad nižší částka kauce tento způsob ochrany práv více zpřístupní.
Zuzana Durajová
Doména dalšího kontinentu podepsána
Celkem v tichosti byly do ITARu přidány DNSSEC klíče pro další doménu, ačkoliv jde o doménu státu, od kterého bychom technologický pokrok příliš nečekali. Jde o Namibii. Koncovka .na je tedy první DNSSEC podepsanou národní doménou v Africe.
Správcem této domény je společnost, již vede v ICANNu velice známý buřič – doktor Eberhard Lisse. Eberhard je velice zajímavý člověk. Narozen je v Německu a po studiích medicíny se vydal na stáž do Namibie. Tam se také oženil a vede tam gynekologickou praxi. Správa domény je tedy pro něj jen jakousi „bokovkou“. Eberhard býval jedním z nejhlasitějších kritiků ICANNu, ale v poslední době už není tolik slyšet a dokonce se do dění ICANNu zapojil tím, že vede technickou skupinu výboru ccNSO.
I pravidla domény .na jsou poměrně specifická. Zajímavé je, že existuji poddomény jak .co.na tak .com.na. Navíc je za určitých (ne zrovna levných) podmínek možné registrovat i přímo v .na. Další zvláštností je třeba i ceník, protože zavádí různé ceny podle země držitele. Zvýhodněni jsou přirozeně Namibijci, ale určitou slevu mají i Jihoafričani.
Dovolte mi tedy, abych této africké doméně i jejímu svéráznému správci pogratuloval k prvenství a popřál hodně štěstí.
Ondřej Filip