Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Доменная зона DE на несколько часов была выведена из строя из-за  DNSSEC"	+/–
Сообщение от opennews (?), 06-Май-26, 09:47
Произошёл массовый сбой в работе доменной зоны "DE", применяемой в Германии. Проблемы возникли из-за ошибки в настройке  DNSSEC для корневой зоны "DE", совершённой организацией DENIC, отвечающей за домен первого уровня "DE". С 5 мая 22:30 по  6 мая 1:30 (MSK) попытка резолвинга доменов в зоне "DE" через DNS-серверы, применяющие DNSSEC для проверки достоверности данных, завершалась ошибкой. На DNS-серверах, применяющих DNSSEC, сбой наблюдался и при резолвинге доменов, напрямую не использующих DNSSEC... Подробнее: https://www.opennet.me/opennews/art.shtml?num=65380
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

1. Сообщение от Tron is Whistling (?), 06-Май-26, 09:47	+3 +/–
Шо, опять? Для DNSSEC такие проблемы - это норма жизни.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #3, #5

3. Сообщение от Tron is Whistling (?), 06-Май-26, 09:50	+1 +/–
Вот здесь чуть больше истории веселухи. https://ianix.com/pub/dnssec-outages.html А самое интересное, что в целом DNSSEC бесполезен - резолвер у апстрима может просто перехватывать DNS и срезать все записи DNSSEC, хост будет считать, что DNSSEC просто нет.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #23

4. Сообщение от Bob (??), 06-Май-26, 09:51	+6 +/–
Ручками меняли или ИИ прикрутили?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #8

5. Сообщение от timur.davletshin (ok), 06-Май-26, 09:54	+3 +/–
Это просто пример того, что администраторы не понимают в DNSSEC. Как и в gnupg...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #6, #31

6. Сообщение от Tron is Whistling (?), 06-Май-26, 09:56	+2 +/–
Это просто пример того, что ваши поляпки "лучшего видения мира" на практике неюзабельны.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

7. Сообщение от Tron is Whistling (?), 06-Май-26, 09:58	+2 +/–
Сейчас ещё время жизни сертификатов SSL до 90 дней сократят - и начнётся. Я уже купил склад попкорна.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #27, #38

8. Сообщение от Аноним (8), 06-Май-26, 09:59	+5 +/–
Токены внезапно закончились, и несколько часов потратили на согласование и закупку. Учитывая что всё происходило после 17:00 по местному времени - небывалое проявление ответственности к своей работе для немцев.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #9, #15

9. Сообщение от Tron is Whistling (?), 06-Май-26, 10:01	+3 +/–
Выбор времени кстати вполне адекватный. Офисы закрылись, а домоюзеры в случае чего перетерпят.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #10

10. Сообщение от Аноним (8), 06-Май-26, 10:02	+5 +/–
Турки наемные скорее всего. Немцам профсоюз не позволит так гореть на работе
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9

12. Сообщение от Аноним (-), 06-Май-26, 10:06	+2 +/–
> Доменная зона DE на несколько часов была > выведена из строя из-за DNSSEC В смысле - выведена из строя?! Наоборот SEC наступил - в его полном варианте! Если хост даже не резольвится - вот облом то для атакуюзего. Это же еще надо было догадаться заранее айпишник записать, на случай такой подставы.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #17

15. Сообщение от Аноним (15), 06-Май-26, 10:45	+2 +/–
Зря ты так, они наверное за три недели согласовали с workers council овертайм
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8

17. Сообщение от Tron is Whistling (?), 06-Май-26, 10:55	+1 +/–
Вот да. Нет резолва - нет проблем, 100% секурно.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12

19. Сообщение от Макан Негодяй (?), 06-Май-26, 11:35	–3 +/–
То, что все публичные DNS не перешли на namecoin или любой другой независимый блокчейн спустя 25 лет с момента его появления - это не просто позор, это кассета гвоздей в крышку гроба так называемого человечества.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #21, #22, #24

21. Сообщение от ryoken (ok), 06-Май-26, 11:38	+1 +/–
> это кассета гвоздей Quake 1 & Super Nailgun
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19

22. Сообщение от Чел (?), 06-Май-26, 11:41	+1 +/–
Так поди если покопаться там куча бабла и переходить куда-то значит с этой кучей распрощаться
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19

23. Сообщение от Аноним (23), 06-Май-26, 11:56	+/–
Резолверы, которым нужен DNSSEC, настраиваются так что отсутствие DNSSEC само по себе является ошибкой. Твоя виндо/мако/лино/андроидо/айосо-коробка по дефолту вообще нихрена не проверяет, можешь даже не переживать по этому поводу если тебе DNSSEC не нужен, у тебя и так уже все домены хотя бы раз провайдер подменял и удалял.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #35, #36

24. Сообщение от Аноним (23), 06-Май-26, 12:01	+/–
Ты свой резолвер то поднял, куда полезет 10к телевизоров в наносекунду с запросами рандомно-наштруганных хостов на AWS и точно так же твой хост будет 10к запросов в наносекунду для всех этих доменов ходить в NS AWS и доблять их к себе в кэш?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19 Ответы: #25

25. Сообщение от Макан Негодяй (?), 06-Май-26, 12:04	+/–
А сейчас что мешает этим 10к телевизорам рандомно-наштруганные запрашивать?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24 Ответы: #30

26. Сообщение от Аноним (26), 06-Май-26, 12:05	–1 +/–
Вин3 норм работает, а эти тут новомодностей наклепали, ироды. Теперь обновляться придется дойче-госу . Пусть частники отдуваются со своими  Суси.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #28

27. Сообщение от Аноним (27), 06-Май-26, 12:17	+/–
Он протухнет, потому что ничего не будет.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #37

28. Сообщение от Аноним (27), 06-Май-26, 12:20	+/–
Вину взломали русские хакеры не иначе.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26 Ответы: #29

29. Сообщение от Жироватт (ok), 06-Май-26, 12:37	–1 +/–
Ну...да. Не Ганс Рукокрюке же
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28

30. Сообщение от Аноним (23), 06-Май-26, 12:37	+/–
Тем, что им твой резолвер нафиг не нужен. А как только DNS превращается в p2p, резко выясняется, что большинство софта в девайсах "для нормисов" делалось кривозубыми мдками, которые преследуют свои цели, а не совместимость с другими девайсами.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25 Ответы: #32, #33

31. Сообщение от Аноним (-), 06-Май-26, 12:38    Скрыто ботом-модератором	+1 +/–
> Это просто пример того, что администраторы не понимают в DNSSEC. Как и > в gnupg... Ну так нехрен имплементить фичи как брейнфак. И TLS - туда же. Вместе с вечно глюкавыми certbot'ами и что там еще за х-й.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

32. Сообщение от Макан Негодяй (?), 06-Май-26, 12:51	+/–
Это проблемы владельцев таких девайсов. Придётся им в комплекте к телевизору дополнительно свой резолвер покупать, чтоб не банили.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30

33. Сообщение от Аноним (23), 06-Май-26, 12:55	+/–
К тому же "перешли на чейкоин" - это не сильно лучше, чем та система, которая есть сейчас. Любой девайс (или хотя бы роутер) в праве проверять самостоятельно DNSSEC ANS сервера напрямую, скачав ключик один раз и положив в папку. Доверие можешь прикрутить сбоку каким хочешь механизмом, сейчас это делается через TLD которые централизованно назначаются ICANN и весь движ происходит на коммерции. Не хочешь красивых имён? Ради бога - добро пожаловать в Tor, I2P и другие подобные схемы, где у доменов есть математическая привязка к ключу. Тут даже торговаться не надо за красивый домен, потому что кто знает ключ - тот и владелец, сам себя можешь авторизовывать, если резолвер обучить этому. Но тогда возникает вопрос - а кто тебя такого красивого будет резолвить с твоими понагенеренными доменами на каждый случай жизни? И получается что это должен быть бесплатный движ тех кому не лень. У Тора куча бабок на эти занятия. У I2P - не очень. Сравни связность обоих сеток.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30 Ответы: #39

35. Сообщение от Tron is Whistling (?), 06-Май-26, 13:18	+/–
Даже клаудфлара выключила DNSSEC на резолверах для .de в этом кейсе, а ты всё туда же. Вот кому нужна проверка DNSSEC - те и включают. У себя на хостах (и тут будет сюрприз - та же винда вообще в DNSSEC не умеет) или на своих собственных резолверах. Которые поднимают сами и трахаются с ними, когда DNSSEC упадёт - тоже сами.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23

36. Сообщение от Tron is Whistling (?), 06-Май-26, 13:21	+/–
Так что в целом согласен: "Резолверы, которым нужен DNSSEC, настраиваются так что отсутствие DNSSEC само по себе является ошибкой" - абсолютно так. Проблема в другом. Таких полтора землекопа в этой вариации, да и они, отгребя проблем, выключат по итогам. Ну и если оно у всех не включено - полагаться на него в твоих собственных доменах бессмысленно. Тот же DANE летать не будет, потому что. Ключ могут подменить, а большинство резолверов схавает. Что и позволяет говорить о том, что DNSSEC - бесполезная херня.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23

37. Сообщение от Tron is Whistling (?), 06-Май-26, 13:22	+/–
Неа, SSL протухнет первым.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27

38. Сообщение от Аноним (38), 06-Май-26, 13:22	+/–
> проблема возникла из-за ошибки при обновлении цифровой подписи Хороший инструмент, щёлк пальчиками - и весь сегмент выключен.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7

39. Сообщение от Макан Негодяй (?), 06-Май-26, 13:29	+/–
Я хочу чтобы почта ходила из gmail в .bit и обратно, или в любую другую зону, где я могу без одобрения барина и принудительной вакцинации зарегистрировать некий условный домен. В текущей системе это невозможно. Идея о том, что можно залезть в даркнет и больше никогда из него не вылезать мне понятна, но речь немного не об этом.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #33

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема