Kovářova kobyla už opět chodí bosa. Současná Evropská komise, která v posledních 5 letech vydala tolik regulačních pravidel pro digitální svět jako nikdy předtím nyní dostala pokárání od Evropského inspektora ochrany údajů. Ten zjistil, že komise používáním služby Microsoft 365 porušila několik klíčových pravidel ochrany údajů, včetně pravidel týkajících se předávání osobních údajů mimo EU, resp. Evropský hospodářský prostor („EHP“). Evropský inspektor ochrany údajů se proto rozhodl nařídit Komisi (s účinností od 9. prosince 2024), aby pozastavila veškeré toky údajů vyplývající z používání služby Microsoft 365 společnosti Microsoft a jejím přidruženým společnostem a dílčím zpracovatelům nacházejícím se v zemích mimo EU, resp. EHP. Seznam nápravných opatření, která musí Komise přijmout, aby zajistila soulad s GDPR, zahrnuje provedení mapování předávání údajů, které identifikuje předávání osobních údajů do třetích zemí, a zajištění souladu prostřednictvím smluvních ustanovení a technických opatření.
RFC 9432: DNS Katalogové zóny
DNS zónu obvykle obsluhuje více autoritativních serverů, což je dokonce doporučeno z důvodu redundance. Velcí provozovatelé autoritativního DNS dokonce kombinují různé implementace name serverů, aby se vyhnuli úplnému výpadku infrastruktury v případě nějaké softwarové chyby. Pro synchronizaci obsahu zóny mezi autoritativními servery existuje pro DNS specifický mechanismus, který se nazývá transfer zóny. Je to osvědčený mechanismus, který podporují všechny běžné implementace DNS. Umožňuje jak transfer celé zóny (AXFR), tak inkrementální update (IXFR).
Projekt Turris: Proč zvyšujeme zabezpečení e-mailu a proč to může rozbít přesměrování zpráv
V současné době v projektu Turris zvyšujeme úroveň zabezpečení e-mailové komunikace. Používáte-li odesílání notifikací ze zařízení prostřednictvím naší infrastruktury, týká se vás to také. Posílí to vaše bezpečí, ale zároveň to může „rozbít“ přesměrování zpráv na jinou adresu.
DNSSEC kořenové zóny v době koronavirové
Tento příspěvek píšu trochu smutně se dívaje přes Internet na ceremonii podepisování klíče v americkém městečku El Segundo poblíže Los Angeles. A proč jsem smutný? Začnu od začátku.
Knot DNS slaví deset let své existence
Projekt autoritativního DNS serveru Knot DNS patří mezi nejstarší projekty Laboratoří CZ.NIC. Dnes je tomu právě deset let od uložení prvotního prototypu serveru commitem 2da03d5da do veřejného repozitáře Git. Jde o software, který nemá vizuální výstup a běžný člověk s ním vědomě nepřijde do kontaktu, proto si připomeňme jeho význam a kde se s ním můžete setkat.
DNSSEC: splnily orgány státní správy svůj úkol?
Již na konci roku 2013 přijala vláda Usnesení, kterým zavedla povinnost zabezpečit všechny domény držené orgány státní správy prostřednictvím technologie DNSSEC, a to do 30. června 2015.
DNSCurve – alternativní návrh k DNSSECu
Enfant terrible DNS scény opět zasahuje. Daniel J. Bernstein přichází z vlastním návrhem řešení kryptografické autentizace DNS záznamů. Tento návrh si můžete v originále přečíst na stránkách projektu DNSCurve.
Ve stručnosti se jeho návrh dá shrnout do několika bodů:
- Všechny NS záznamy budou speciálně pojmenované
- Speciální pojmenování bude obsahovat šifrovací klíč
- Rekurzivní DNS bude komunikovat s autoritativním pomocí tohoto šifrovacího klíče
- Šifrovaná komunikace bude obalená a schovaná do TXT RDATA
Návrh obsahuje pár zajímavých myšlenek (použítí Elliptic Curve Kryptografie), v zásadě ale vidím několik nedostatků tohoto návrhu:
- Informace o tom, že se má začít šifrovat k rekurzivnímu DNS, jde nešifrovaně. Návrh neobsahuje Pevné body důvěry (Trust Anchors).
- V případě, že bychom DNSCurve použili i na root servery a všichni začali DNSCurve používat, tak by došlo k paradoxní situaci, kdy by veškeré DNS pakety chodily obalené do DNS TXT. Což mi lehce připomíná IP over DNS protokol.
- Bernstein píše o tom, jak je Elliptic Curve algoritmus milionkrát složitější na rozlousknutí a zjevně z tohoto důvodu nedefinuje mechanismy, jak měnit klíče. Bude to však pravda i za dalších několik let?
- Nevím jestli název nameserveru uz51gmc1jjicekrm676rorncvjpale915vhd94bj2fddj1be1ntbg5.nic.cz bude patřit mezi něco, co je srozumitelné pro pouhého smrtelníka a zda administrátoři budou s nadšením hledat problémy, když se něco pokazí.
Můj názor je takový, že vzhledem k výše uvedeným faktům a kontroverznosti autora návrhu, který naštval snad úplně všechny, se návrh nikterak nerozšíří. Příjemnou věcí je ovšem to, že DNSCurve nikterak nekoliduje s DNSSECem a administrátor serveru bude mít na výběr.
Ondřej Surý
Aktualizace:
Z diskuze na namedroppers a dnsop se objevilo pár dalších problémů.
- Zdá se, že Elliptic Curve algoritmy jsou problémové z hlediska amerických patentů.
- Protože DNSCurve šifruje, tak je velmi pravděpodobné, že se na něj budou vztahovat americká exportní omezení.
DNSSEC v .gov
Kancelář pro plánování a rozpočet Bílého domu vydala nařízení, podle kterého musí správce domény .gov do ledna roku 2009 nasadit technologii DNSSEC a dále připravit plány na nasazení DNSSECu pro všechny systémy, kterých se týká doménový prostor pod TLD doménou .gov. Originální článek vyšel například zde.
Na tomto faktu by nebylo v zásadě nic tak zajímavého, kdyby:
a) se nejednalo o vládní doménu – administrativa Spojených Států se zajímá o ochranu DNS prostoru
b) nebylo nasazení povinné – zatímco všechny ostatní TLD domény, k nimž se brzy připojí i naše česká doména .cz, fungují na principu dobrovolnosti; všechny poddomény v doméně .gov budou muset implementovat DNSSEC povinně.
V každém případě bude zajímavé sledovat, jak se jim nasazení zdaří, za jak dlouho budou schopni začít podepisovat všechny poddomény a kdy budou mít nasazeny rekurzivní DNS, které si rozumí s DNSSECem.
Ondřej Surý