Beiträge von DragonWork

  • [Vorschlag] rDNS mit DNSSEC schützen

    Tatsächlich ist für viele Anwendungen kein Vor-, aber auch kein Nachteil vorhanden.

    Dennoch gab es in der Vergangenheit schon einmal einen theoretischen Angriff (wobei ein Reverse Lookup innerhalb eines Bash-Skripts genutzt wurde), der mittlerweile gepatcht ist.

    https://seclists.org/fulldisclosure/2014/Oct/53

    Mittels DNSSEC wäre man für zero-day exploits gewappnet, die einen bis dato unbekannten Mechanismus ausnutzen, da gespoofte Anfragen bereits auf Resolver-Ebene abgewiesen werden würden.

    Ein anderer Aspekt (gerade für Mailserver relevant): Letztendlich kann eine Domain beweisen, dass die IP-Adresse, auf die sie zeigt, auch auf sie referiert. Reziproke Referenz quasi.

    Ja, ich könnte eine x-beliebige Domain angeben. Aber umgekehrt ist ja aktuell auch möglich: jede Domain kann auf eine x-beliebige IP verweisen. Wenn IP und Domain jedoch verifizierbar aufeinander zeigen, ist die Authentizität beider Entitäten garantiert.

  • [Vorschlag] rDNS mit DNSSEC schützen

    Positivbeispiel; ein bekannter niederländischer ISP hat dies erfolgreich umgesetzt: https://www.sidn.nl/en/news-and-bl…verse-dns-zones

    Ich verstehe deine Bedenken. Aber netcup sollte eventuell einmal überdenken, seine DNS-Architektur auf den neusten Stand zu bringen und die Chance ergreifen, möglicherweise Vorreiter in Bezug auf DNSSEC-signiertem rDNS in Deutschland zu werden. Vielleicht können in diesem Zuge ja auch die Probleme angegangen werden, die du angesprochen hast, wenn dafür das gesamte System neu aufgesetzt werden muss.

  • [Vorschlag] rDNS mit DNSSEC schützen

    Da die Parent-Zone ja ohnehin DNSSEC validiert ist, müsste das kein großes Unterfangen sein. Ich habe nie Probleme mit DNSSEC gehabt. Außerdem überprüfen i. d. R. nur Mailserver rDNS (mir ist kaum ein anderes Anwendungsszenario bekannt), und dort macht DNSSEC auf jeden Fall Sinn.

    Ein großer Teil der Server/Services wäre ja kaum betroffen.

    Man könnte Subnets in Child-Zones unterteilen und hätte dadurch keine riesige Zone, die immer wieder neu signiert werden muss.

    Mit z. B. PowerDNS geht das recht gut und automatisch.

    Edit: rDNS sind wohl die am seltensten aktualisierten Records schlechthin. :)