„O 24 hodin později“ aneb obrázek o rychlosti reakcí na bezpečností oznámení

Před třemi dny vydal US-CERT zprávu o bezpečnostním riziku DNS protokolu a opravě spousty implementací DNS, která zmenšuje riziko útoku na DNS, tzv. „cache poisoning„. Jedná se o útok, který dokáže podvrhnout falešnou odpověď na DNS dotaz. Ta se uloží do vyrovnávací paměti a dojde k tomu, že se podvržená informace dostane ke všem uživatelům příslušného caching name serveru. Zároveň se objevila stránka s testem vašeho DNS serveru, kde si můžete ověřit zda je zranitelný nebo ne.

Provedl jsem tedy cca 24 hodin po uveřejnění oznámení malý test, který měl zjistit, jak na tom budou jednotliví ISP v České republice. Obeslal jsem prosbou o otestování DNS výše uvedeným testem všechny v tu chvíli online kontakty ve svém ICQ a zde jsou ne moc potěšující výsledky:

20 lidí bylo obesláno
18 z nich odpovědělo s výsledkem testu
14 různých DNS serverů bylo otestováno (někteří z oslovených měli stejného providera a tudíž stejný DNS server)
10 serverů bylo zranitelných
4 servery byly bezpečné

A to dodejme, že zranitelný server měli všichni lidé se stejným providerem DNS. Ve výsledku jsou tedy 3/4 uživatelů potenciálními oběťmi napadení. Mezi zranitelnými byly navíc DNS servery velkých českých ISP, kteří by měli bezpečnostní incidenty a oznámení rozhodně sledovat a řídit se jimi. O to víc je asi nutné ocenit ty čtyři, kteří své servery zabezpečili: UPC, Jihočeskou univerzitu, Dial Telecom a T-Mobile. Klobouk dolů!

Opravy navíc pouze snižují riziko; jediné řešení, které problém odstraní na 100 %, je DNSSEC. Zavádění DNSSEC už je zase jiná kapitola se svými problémy… Dodejme ještě, že pro domény .cz je testovací provoz plánován už na srpen tohoto roku a plný provoz na září.

PT

To nejzajímavější z ICANN

Tvář internetu se radikálně promění, vznikne nepřeberné množství nových generických domén nejvyšší úrovně. Takovým způsobem mohl působit závěr posledního zasedání organizace ICANN, které se konalo minulý týden v Paříži. Velmi pravděpodobně ale uplyne ještě hodně vody, než se nové domény začnou objevovat. Představenstvo ICANN se zatím totiž pouze jednomyslně shodlo na tom, že umožní vznik nových domén nejvyšší úrovně a to jak v anglické znakové sadě, tak i v ostatních jazycích. Jedním dechem ale poukázalo i na nutnost s liberalizací internetového prostoru zavést a dodržovat striktní a jasně dané podmínky a pravidla pro tyto nové domény.  A o těch se teprve začíná diskutovat. Podle předpokladů samotného ICANN by návrh pravidel neměl být hotový dříve než na začátku roku 2009 a teprve pak bude možné začít přijímat první žádosti o speciální domény. Kolik času zabere jejich vyhodnocení není snadné odhadnout; předpokládám ale, že se bude muset projít souborem nejen technických, ale i finančních a administrativních podmínek, což nějakou chvíli zabere. Reálný vznik prvních nových domén tak odhaduji zhruba na přelom let 2009 a 2010, přičemž tempo jejich přibývání nebude nijak závratné.

Výsledky tohoto usnesení jsou jistě povzbudivou zprávou pro všechny žadatele o generické domény nejvyšší úrovně. Mezi nejhlasitější patří zástupci některých velkých měst jako třeba Berlínu, Paříže či New Yorku, kteří lobbují za domény .berlin, .paris a .nyc. Stejně tak toto usnesení nahrává uživatelům jiných písem než anglické abecedy, protože je otevřen prostor po nové generické domény v jazycích a písmech jako čínština, arabština, ruština a podobně. Toto usnesení se zatím netýká speciální skupiny domén nejvyšší úrovně, které vyjadřují názvy států (tzv. ccTLD — country code Top Level Domain) jako třeba .cz, .uk, .eu a podobně. Vznik těchto domén se řídí speciálním seznamem ISO-3166. Na tvorbě mechanismu pro vznik ccTLD neanglických znakových sadách se právě v rámci organizace ICANN intenzivně pracuje.

Ondřej Filip

Poznej svého nepřítele

Tak jako mnoho dalších i my používáme pro prevenci/detekci průniků do sítí, které spravujeme, utilitu SNORT. Experimentálně jsme ji pustili na jeden týden s plným nastavením, tak aby zachytávala všechny události. Z tohoto experimentu vznikla následující mini statistika, která ukazuje, jaké útoky (ve smyslu těch, jež vedou ke kompromitaci systému či omezení dostupnosti služby) jsou směřovány na infrastrukturu zajišťující provoz domény .cz. Ta může vypovídat obecně o tom, které  typy útoků budou v danou dobu relevatní pro celý internet. Pojďme se tedy podívat na Top 5 nedávné minulosti. Čísla udávají průměrný počet útoků denně.

MS-SQL version overflow attempt 87712
ntpdx overflow attempt 16496
WEB-MISC cross site scripting attempt 2589
WEB-MISC Chunked-Encoding transfer attempt 1004
WEB-PHP IGeneric Free Shopping Cart page.php access 103

Všechny ostatní se pak už pohybovaly na úrovni maximálně několika desítek, ale spíše jednotek denně. Společně s těmi nejnebezpečnějšími napadeními se samozřejmě vyskytovala i řada portscanů a útoků, které mají za cíl získat informace. Co se týká zdrojů útoků nebude žádné překvapení, že pocházejí nejčastěji z Číny.

Pavel Tůma (PT)

Konference Internet a technologie 08 – panelová diskuse na téma IPv6

První dvě přednášky druhého bloku konference Internet a technologie 08 byly o „novém“ internetovém protokolu IPv6. Po Pavlu Satrapovi z Technické univerzity v Liberci, který IPv6 představil, přišel na řadu Lubomír Pinkava z Casablanca INT. Ten se IPv6 věnoval z pohledu poskytovatele internetového připojení.

Na otázku, co by nejvíce pomohlo rozšíření IPv6, odpovídal Pavel Satrapa. „Rychlému rozšíření nastupujícího protokolu by určitě prospělo, kdyby se zde objevila služba nebo obsah, který by byl na jedné straně velice atraktivní a na druhé dostupný pouze přes IPv6; něco, jako byl kdysi World Wide Web.“

Rozšířenost IPv6 brání podle Ondřeje Filipa, výkonného ředitele CZ.NIC, také nedostatečné technické vybavení, které by tuto technologii podporovalo, a operátoři. „Čeští operátoři, především ti větší, zatím protokol IPv6 neimplementovali ve svých sítích. Na druhou stranu si ale myslím, že většina z nich má IPv6 adresy přiděleny a tento protokol testuje. Celá situace není jednoduchá. Uvědomme si, že pokud budeme chtít, aby protokol IPv6 fungoval podle našich představ, je potřeba vyměnit nebo upgradovat ideálně všechny prvky sítě; rozhodně ty přístupové, které ovládají tisíce uživatelů. Tato změna bude určitě drahá a asi i poměrně složitá,“ řekl Ondřej Filip.

Na závěr diskuse předpověděl Lubomír Pinkava to, co se o několik týdnů později stalo. „Světýlkem v tunelu jsou aktivity Evropské unie, která může připojení přes IPv6 úřadům a firmám v Unii v uvozovkách přikázat, “ dodal technický ředitel Casablanca INT.

Vilém Sládek

Jak je to s dotazy na domény s diakritikou?

V průběhu diskusí, které se na téma IDN v doméně .CZ na různých místech odehrávají, jsme narazili na dva argumenty týkající se smysluplnosti použití diakritiky při zadávání doménového jména do prohlížeče. První názor je ten, že dnes jsou všichni zvyklí zadávat URL bez diakritiky a ani reklama (např. v rádiu), kde se domény vyslovují „česky“ nikoho nezmate. Proti tomu stojí tvrzení, že žádný provozovatel webu dnes vlastně neví, o kolik potenciálních návštěvníků přijde díky tomu, že název zadají s diakritikou a následně se stránka nezobrazí. Připadalo mi zajímavé (a relativně jednoduché) tento problém zanalyzovat. Tady je – výsledek posuďte sami ;-)
Zde je deset nejhledanějších domén, zadávaných s diakritikou – výběr je za dva pracovní dny (48 hodin) a nejsou v něm započteny dotazy na doménu http://háčkyčárky.cz.

Seznam je ve tvaru doména – počet dotazů :

  1. Slunečnice.cz – 621
  2. Spolužáci.cz – 329
  3. Práce.cz – 251
  4. Slovník.cz – 204
  5. Volný.cz – 179
  6. Lidé.cz – 171
  7. Líbímseti.cz – 112
  8. Spolužaci.cz – 99
  9. Alík.cz – 92
  10. Líbimseti.cz – 84

Celkově představovaly všechny dotazy s diakritikou o něco málo více než jednu setinu procenta ze všech položených dotazů…

Martin Peterka

Konference Internet a technologie 08 – panelová diskuse na téma IDN

Konference Internet a technologie 08 byla nejen o přednáškách, které jsou volně k dispozici na stránkách www.nic.cz/it08, ale také o panelových diskusích, otázkách návštěvníků, o odpovědích a názorech jednotlivých vystupujících. Ty na internetové stránce konference nenajdete a proto se je pokusím postupně zprostředkovat zde na .blogu.

První z panelových diskusí byla věnována úvodnímu bloku konference, tedy především IDN. Zde jsou názory jednotlivých panelistů k tomuto tématu.

Martin Peterka, provozní ředitel sdružení CZ.NIC, který na konferenci představil IDN z pohledu České republiky a ohlásil spuštění projektu „háčkyčárky.cz„: „IDN je primárně určené pro země, které latinku nepoužívají. Osobně si myslím, že v budoucnu budeme držet jak domény s tak bez IDN tvarů. Na svých vizitkách budeme uvádět oba dva záznamy s tím, že si náš partner vybere tu informaci, které rozumí, kterou dokáže přečíst a napsat do svého browseru.“

Baher Esmat, zástupce ICANN, se ve své přednášce podrobně věnoval zavádění a situaci IDN ve světě. „V současnosti je na světe 1,3 miliardy uživatelů internetu a my si musíme klást otázku, jak toto číslo ještě zvětšit. Jazyk je jednou z bariér přístupu k internetu a IDN je jedním zprostředků, jak ji překonat. Zavedení národních znaků s sebou jistě přinese problémy, ale také i výzvy vyrovnat se s nimi. Snažíme se umožnit přístup k internetu globálně, tedy lidem po celém světě. Zároveň bychom ale neměli ovlivnit jeho stabilitu a funkčnost. Souhlasím s tím, co tu bylo řečeno, že na vizitce budou jedny informace pro lidi, jenž mluví stejným jazykem jako já, a druhé pro ty, kteří mému jazyku nerozumí. Já například mám vizitku v arabštině a současně i v angličtině. Je tedy jasné, že jsou na světě lidé, kteří mají s přístupem k stávajícímu internetu problémy. Toto je věc, kterou bychom měli mít při úvahách o IDN na paměti,“ řekl Baher Esmat.

Do diskuse se zapojil i výkonný ředitel sdružení CZ.NIC, Ondřej Filip: „My dnes nutíme spoustu národů, aby používaly latinku. Nedokážu odhadnout, jak velké množství třeba Číňanů ji ovládá, ale myslím si, že to bude  menšina. Někdo si může myslet, že dojde zavedením IDN k porcování internetu a vytváření ostrůvků. To je mýlka, ostrůvky tu už dávno jsou, již nějakou dobu existují. My čínsky nerozumíme a Číňané nerozumí češtině. Internet je v tuto chvíli z velké části pro ty, kteří latinku ovládají. IDN tedy není nic, co rozděluje. IDN je věc, která dokáže k internetu přilákat nové lidi. Ty, kteří neumí latinku, nemají klávesnice, s jejichž pomocí by mohli slova s latinkou napsat.“

Vilém Sládek

Latinkocentrismus (aneb k čemu je vlastně dobré IDN)

Při čtení všech možných diskuzí, které se strhly okolo IDN, mě napadlo jedno takové slovo: „Latinkocentrismus“. Jeden příklad takového komentáře za všechny:

Počítač by měl ovládat člověk, který dokáže opsat písmena psaná latinkou.“

Zkusme si tedy na chvíli odmyslet, že internet (a počítače) vzniknul za Atlantikem, a představme si, že vzniknul třeba v Indii (ať furt dokolečka neomíláme Čínu) a třeba zrovna v oblasti, kde se mluví Tamilsky.

A teď vám dám za úkol: Zajděte za nějakým svým starším nebo i mladším příbuzným a řekněte mu, že Internet je skvělá věc a aby se podíval na vaše nové internetové stránky (ano, i takové stránky v dřevních dobách internetu vznikaly a snad jste nedostali po návštěvě epileptický záchvat).

A jen tak mimochodem zmiňte, že aby se na ty stránky dostal, tak se bude muset naučit Tamilskou abecedu. Ostatně je to přece jenom 31 nových písmenek. To musí zvládnout každý… Nebo snad ne?

Vraťme se zpátky do naší české kotliny a do světa, kde internet vzniknul v zemi, kde nejsložitejší kódování bylo US-ASCII (a mimochodem vzpomeňte si, jaké byly a dosud někde jsou problémy s tím, že nějaký programátor zapomněl, že můžou existovat i nějaké jiné písmenka než A-Z). A teď to nejdůležitější – přestaňte myslet lokálně a začněte myslet globálně. Internet je otevřená síť a musí být otevřená i pro lidi, kteří neovládají latinku. Z našeho evropského pohledu se to představuje docela špatně, ale takoví lidé existují a i nadále v budoucnu existovat budou. A v tom spočívá hodnota IDNzpřístupnit internet opravdu všem a to bez ohledu na to jaká je hodnota IDN pro doménu .cz (tato debata není obsahem ani cílem tohoto článku). A raději podotýkám, že to ovšem neznamená, že dostupný obsah bude přístupný všem. Situace se nezmění, ostatně ruku na srdce, kolik z vás je schopno přečíst si stránky např. ve švédštině.

Ondřej Surý

QWERTZ nebo QWERTY? A co na to IDN? (něco ve stylu počítání andělů na špičce jehly)

Globalizace postupuje stále vpřed. Někteří proti unifikaci bojují a chtějí být zřetelně jedineční (třeba štramberské uši, nošovické zelí, žatecký chmel anebo olomoucké tvarůžky), jiní se z různých více či méně rozumných důvodů snaží sjednotit, splynout, zharmonizovat.

Třeba web ceskaklavesnice.cz se snaží prosadit standard QWERTY namísto dosavadní QWERTZ, jejíž používání má svůj původ už v Rakousko — Uhersku a němčině jako úředním jazyku v českých zemích. Propagátoři změny argumentují tím, že QWERTZ není ani ergonomická, ani to není české nastavení a hlavně komplikuje život lidem moderní doby (= doby informační a IT, či chcete-li informační společnosti), kteří přece používají hlavně angličtinu. A tak bude lepší se namísto německé podřídit klávesnici anglické (americké).

Jenže nemalá část občanů této země pořád ještě není permanentně on-line a používá počítač „jen“ na normální, ne-IT práci či studium, psaní přátelům či rodině a nebo ho dokonce — ještě — vůbec nepoužívá. A naopak až celkem nepříjemně významný počet lidí nehovoří anglicky tak, že by potřeboval přizpůsobit klávesnici. IT-odborníků, kteří by změnu uvítali a pro které je angličtina i klávesnice vskutku pracovním nástrojem, je menšina — důkazem budiž situace na trhu práce — a se svými znalostmi bravurně zvládnou (nejen) přehodit si klávesnici z české na anglickou sami.

Ale možná by vlastně šlo jít ještě dál — nasadit standard QWERTY, ale ten bez písmen s českou diakritikou. Potom bychom IDN vůbec nepotřebovali, protože psát česky s nabodeníčky by strojově prostě nebylo možné.

Zuzana Durajová

Právnický seminář i letos úspěšný

Ve čtvrtek 15. května se uskutečnil seminář „Aktuální právní otázky doménových jmen“, který připravilo sdružení CZ.NIC ve spolupráci s Českou advokátní komorou.

Semináře určeného pro odbornou právnickou veřejnost se zúčastnilo přes 80 zájemců z řad soudců, advokátů i firemních právníků. S velkým zájmem se setkala prezentace Martina Peterky, provozního ředitele sdružení, která byla zaměřena na změny související s přechodem na nový registrační systém, účastníci dostali odpovědi zejména na otázky týkající se držitelů domén a provádění změn, a JUDr. Jána Matejky PhD. z Ústavu státu a práva AV ČR. Tato přednáška byla věnována klasifikaci právní povahy doménových jmen a konfliktům, jenž v souvislosti s jejich užíváním či držením vznikají nebo mohou vzniknout. Neméně zajímavý byl příspěvek JUDr. Jiřího Macka, předsedy Vrchního soudu v Praze, o rozhodovací praxi soudů při rozhodování sporů o doménová jména.

Další části semináře byly věnovány alternativnímu řešení sporů o doménová jména a rozhodování Rozhodčího soudu při Hospodářské komoře České republiky a Agrární komoře České republiky, problematice IDN. Účastníkům byl rovněž blíže představen projekt ENUM.

O seminář byl, stejně jako v roce 2006, kdy byl uspořádán poprvé, velký zájem a tak už nyní můžeme říci, že se jistě nekonal naposledy.

Zuzana Durajová

Evropská unie aktivně podporuje IPv6

Česká média informovala poprvé v úterý 27. května o tom, že Evropská komise navrhla kroky, které mají předejít tomu, aby nebyly v blízké budoucnosti vyčerpány internetové adresy současného internetového protokolu IPv4. Výkonný orgán Evropské unie chce více motivovat uživatele internetu k přijetí novějšího a v podstatě neomezeného internetového protokolu IPv6. Současný protokol vydrží podle některých odborníků už jen tři roky. Evropská komise si podle tiskových informací stanovila za cíl prosadit, aby do roku 2010 čtvrtina úřadů, průmyslových podniků a domácností využívala nový protokol IPv6.

Na problém, který znamená stále se snižující počet IP adres a pomalé zavádění nového internetového protokolu, upozorňuje sdružení CZ.NIC již delší dobu. Proto prohlášení zástupců Evropské unie vítá a slibuje si od něj především větší zájem o téma, které je stále aktuálnější. Na konferenci Internet a technologie 08, která se konala minulý týden v Praze, věnovali organizátoři tomuto tématu jeden samostatný blok. V něm a v následné panelové diskusi zmínili přednášející nejen současnou situaci, ale také třeba i velice pravděpodobné výhledy do budoucna.

Podle některých zdrojů nebudou současné IP adresy dostupné již v roce 2011. Neznamená to ale konec internetu, ani omezení jeho fungování. Dojde „pouze“ k tomu, že ho nebude možné dále rozšiřovat a rozvíjet.

Sdružení CZ.NIC, které spravuje registr domén .CZ a ENUM, je jako jedna z mála tuzemských institucí na přechod na nový protokol připraveno.

Ondřej Surý