Názory k článku
Nebezpečí alternativních DNS stromů

Stávající stav správy DNS není ideální ani na světové, ani na lokální úrovni (vzpomeňme téměř "pirátský" vznik CZ.NIC a jejich "výpalné" za domény), ale pořád můžeme být rádi, že to nějak funguje (a třeba v případě CZ.NIC se pooomaluu zlepšuje).

Vznik alternativních DNS je podle mě zapříčiněn hlavně honbou za ziskem. Každý si dokáže představit, kolik v tom je peněz a jaký obchod století by byl prodej www.sex a dalších. Naštěstí se dá předpokládat, že každá nová organizace přesvědčí ke změně pouze zlomek lidí. A tak je to dobře.

peníze rozhodně v dot sex a podobných neleží! Pochybuji, že si někdo bude kupovat domény, které lze jednoduše blokovat už podle domény prvního stupně (jen si vzpomeńte, kolik erotiky se prohlídne (a zaplatí) v práci), přišli by tím zbytečně o 20-30% zákazníků. Jestli jsou někde peníze tak v dot com, tam se smysluplné domény prodávají od xxxx až xxxxx dolarů a nějaké opravdu krátké začínají na ceně kolem 900000 dolarů. Si říkám, jestli právě podobné alternativní DNS stromy neumožní zaregistrovat třeba car.com a pak ji upřednostní pře opravdovou a už existující doménou, v tomto podle mě nelegálním a neetickém jednání vidím možný zdroj příjmů.

Naopak si myslím, že za těch 750 dolarů + 250 ročního poplatku si to nikdy jako .familyname nekoupí, to se prostě nevyplatí.

jen at se vsechny podezrele spolecnosti zvyrazni registraci v alternativnim stromu. Nikdo nema realnou sanci zalozit alternativni DNS (teda krome Ciny).

navrhuji aby všechny podezřelé společnosti byly nuceny se registrovat v top level doméně dot fake :)

Nechápu, proč se k tomuto problému nyní stavíte, jako by to byla nějaká novinka. Již hezkou řádku let fungují jiné a podstatně známější systémy jako např. www.new.net. A ta zmínka o Tiscali, jako subjektu, který naletěl studentíkům je zajímavá úvaha, leč v případě new.net to platí taktéž - a již hodně dlouho. Takže to bude spíše obecná firemní politika.

Omlouvam se, pokud jste naznal, ze se k tomu problem stavim jako k novince. Tento pokus je nebezpecny predevsim proto, ze se mu dostalo velke medialni pozornosti bez upozorneni na rizika.

Dobře, omluv netřeba :-)

Všechny nameservery běží s NSD 2.3.1 http://www.nlnetlabs.nl/nsd/ , jsou funkční a mají rychlou odezvu.

Kořenové nameservery IANA/ICANN běží na různých programech různých verzí:

A "VGRS2"
B "8.4.1-REL"
C "8.4.6-REL"
D "8.4.4"
E "9.2.3"
F "9.3.1"
G ""
H "8.4.6-REL"
I "contact info@netnod.se"
J "VGRS2"
K "NSD 2.2.1"
L "named-8.4.1"
M "8.4.6-REL"

Testovací obrázek má URL http://www.unifiedroot/images/root-check-ok.gif ale TLD unifiedroot nezná ani nameserver a.unifiedroot.net

A ano, ns.tiscali.nl používá UnifiedRoot:

; <<>> DiG 9.2.1 <<>> ns company @ns.tiscali.nl
;; global options: printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 13022
;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 2

;; QUESTION SECTION:
;company. IN NS

;; ANSWER SECTION:
company. 172800 IN NS ns1.unifiedroot.net.
company. 172800 IN NS ns2.unifiedroot.net.

;; ADDITIONAL SECTION:
ns1.unifiedroot.net. 76655 IN A 83.138.178.218
ns2.unifiedroot.net. 162645 IN A 72.3.208.251

;; Query time: 44 msec
;; SERVER: 195.241.77.54#53(ns.tiscali.nl)
;; WHEN: Wed Dec 21 10:31:39 2005
;; MSG SIZE rcvd: 108

Osobně si myslím, že podobné pokusy nemají žádnou šanci a pro Internet jako takový nepředstavují vůbce žádné reálné nebezpečí, jediné nebezpečí je pro peněženky důvěřivců, co na to skočí, to je vše.

Jedine co ma IMHO sanci je ORSN nebo neco podobneho - tedy organizace, ktera kopiruje IANA/ICANN dokud se USA nezblazni a nepokusi se vyuzit svoji kontrolu nad DNS.

Nechápu proc bych nemohl mit adresu v podobe například jmeno.prijmeni, což zatím nejde a alternativni poskytovatel mi to může umožnit.

Nechápete, protože jste laik. Kdybyste problematice DNS rozumněl, neptal byste se.

Tak se trosku zamysli a zkus prijit na to, proc to nemuzes mit a proc je to dobre. Nastesti lide, kteri se o DNS staraji o tom vedi vic nez ty.

Ja to taky nechapu, mohl by to nekdo z vyvolenych geniu vysvetlit ? Proc MUSI byt *.com, *.net, *.cz atd., proc nemuze byt*.* ?

Predem se omlouvam, ze tak neznaly clovek jako ja se vubec odvazuje cist zdejsi superodborny platek urceny pouze znalym zasvecencum.

Ale precijenom pokud by se nekdo ze zdejsi mentalni aristokracie uvolil nam pitomcum, co to nevi, vysvetlit (v ramci charity "bohati duchem pomahaji chudym duchem"), tak to by bylo gesto hodne adventnich svatku.

Protoze root nameservery musi byt RYCHLE. Kdybys je zavalil pozadavky na mraky zbytecnych domen (odhledneme ted od toho, co by se stalo kdyz by se o jednu domenu pralo takovych lidi), tak by rychle nebyly (zpracovavani tak velkeho a navic neustale se meniciho seznamu by je zatracene zatizilo) a byl by ohrozen cely internet (respektive cele DNS).

Proc by se melo prat o jednu domenu vic lidi ? Proste by nebyl spravce .com, .net, .info, .cz atd ale byl by spravce *.* a pokud si zaregistrujes hk.maly tak uz to proste nebude, stejne jako kdyz si ted zaregistrujes hkmaly.com

Podivejte se na pravidla registrace domeny eu. Neplati ciste "kdo driv prijde ten driv mele". Existuji opatreni proti domenovym spekulantum.

Jiste ale jednak jenom v okamziku otevreni novych registracnich prilezitosti a hlavne omezenim prave tim za tou teckou. V pripade otevreni moznosti registrace *.* by vznikla tak nekonecna skala kombinaci, ze by sporu bylo daleko min nez pri otevreni .eu (kde je mimochodem legracni to, ze se vubec neda dopredu odhadnout, zda tato extenze nekdy uspeje...).

Jakych kombinaci ? Pred . by kazda firma chtela jenom www, aby se to nepletlo.

Souhlasim s tim, ze by vznikla velka skala kombinaci.

Ovsem nemyslim si, ze by bylo mene sporu. Byly by spory jineho druhu - protoze by bylo jednoduche registrovat domenu, bylo by mnohem vice domain squattingu. Napriklad vlastnici ochrannych znamek by se asi hodne divili.

Ale to je spekulace - protoze nevime, kolik vznikne sporu kolem .eu natoz abychom vedeli, kdolik sporu vznikne pri *.* :-)

To by prave Michale bylo tolik potencionalnich sporu, ze by to drzitele OZ vzdali...

Nepodcenoval bych pravniky Coca Coly a jejich chut prokazat svoji uzitecnost :-)

TLD rozdělení je de-facto jednoduchá kategorizace (viz původní domény edu, com, net, gov, mil, ...), teoreticky vzato tedy TLD každý subjekt definuje svou zemi působnosti a nebo svou kategorii, což se hodí z mnoha důvodů. Např. když uvidím u firmy adresu firma.jp a firma.cz, tak raději půjdu na .cz, protože moje japonština je velmi slabá a na .jp bych ji očekával. Když uvidím u adresy .gov, tak vím že je to prověřená americká národní agentura atd. Z těchto důvodů dokonce v některých zemích jsou dokonce kategorie na 2ndLD, např. com.uk a pod. Kategorizace velmi pomůže také zvýšení dostupnosti domén a zlepšení obchodu - třeba domény typu sex by v čechách neměly nárok, protože jsme přistoupili pozdě. Takhle je business v každé zemi separátní. Další důvody byly technické - těžko by se škálovaly DNS servery, to by ale šlo nyní řešit.
Jinak ale jestli je otázka, proč nemohu mít doménu jmeno.prijmeni, tak jestli chcete, tak to pro vás za 4 tisíce zařídím a bude to fungovat po celém světě bez problémů - za 4 tisíce vás prostě na matrice přejmenuji na Bflmppsvz Com
;-)

Je to popsano asi na 2 tisici stranach specializovaneho odborneho anglickeho textu ktery popisuje princip fungovani DNS ruznych rozsireni a zpusob tolerance s nekterymi dalsimi technickymi specialitami. Akorat to tam neni napsano primo, ale kazdy si to z nej odvodi pokud si to zapamatuje a dokaze to pouzit.

o nejezdeni na dovolenou ve skutecnosti znamena desetitisice mrtvych, rozstrilenych, ilegalnim fosforem zabitych deti, dospelych, zen, znasilnenych a mucenych, zeme je znicena a rozkradena ale politicke body jsou ziskany

tak jen trosku mene sobeckosti a vice inteligence pane Krsek

Jeste jste zapomnel, ze mlatej cernochy.

Trochu víc rozumu a trochu méně demagogie, pane sddsf :o))
Takovými bláboly politické body nezískáte a budete pro srandu.

K tomu zda-li muzeme nebo nemuzeme federalni vladu USA a komerci v teto technologicke neutralite bych tak jednoznacne nevidel. Zejmena ve svetle, ze neni pravda, ze Internet funguje vice mene uspesne 30 let a to zejmena pote, co pozname, ze vetsinu casu travil Internet ve "zkumavkach" a tedy je toto obdobi neco jako prenatalni vek. Kupodivu minimalne u savcu mluvime o zivotu od okamziku narozeni, nikoli zrozeni... podivne...:-0

Komercni sfera byla k Internetu "pripustena" podstatne pozdeji a verim, ze si je toho pisatel clanku moc dobre vedom. Stejne tak si je urcite vedom ne zrovna davneho exesu s odpovedmi na PTR dotazy (k neexistujicim zaznamum v zonam) k jiste kupodivu americke spolecnosti... a navrat do puvodniho (minimalne optimalnejsiho) stavu nebyla otazka tydne, ba co vice, tato spolecnost ustoupila az pod soustredenym natlakem ze vsech stran, protoze povazovala tento pocit za pravne v poradku, povazovala ho za neco, na co ma narok atd. = nejednalo se tedy o technickou chybu, ale zamer a promysleny...

PTR dotazy ???

mno klasicke to dig -x AAA.BBB.CCC.DDD mozna jsem to nenapsal nejstastneji, ale snad se chapeme....

man dig: The default query type "A", unless the -x option is supplied to indicate a reverse lookup.

Priznavam ovsem, ze ceskym prekladem "reverse lookup" si nejsem jisty - ale PTR dotaz to urcite nebude. On je to totiz A dotaz na DDD.CCC.BBB.AAA.in-addr.arpa.

Ja to snad nerozdycham. nastudujte si princip fungovani dns a pak komentujte preklad reverznich zaznamu.

Format dns dotazu je jasny. Hlavicka informujici ze jde o dotaz s 1 "polovicni" zaznam otazky s domenovym jmenm, typem a tridou zaznamu. bez policka delka dat a velice promenlive casti data. Typ PTR.

Z toho jasne plyne, ze jde o dotaz na PTR zaznam. A mimochodem. Dns _musi_ podle rfc vratit typy CNAME v odpovedi v sekci dodatecnych zaznamu.

Vidite, a ja si myslel ze me dig nepodvede ...

$ dig 125.30.113.195.in-addr.arpa

; <<>> DiG 9.2.2 <<>> 125.30.113.195.in-addr.arpa
;; global options:  printcmd
;; Got answer:
;; ->>HEADER<<- opcode: query, status: noerror, id: 11871 ;; flags: qr rd ra; query: 1, answer: 0, authority: additional: question section: ;ddd.ccc.bbb.aaa.in-addr.arpa. in a authority ccc.bbb.aaa.in-addr.arpa. 10800 soa csmat.karlin.mff.cuni.cz. postmaster.csmat.karlin.mff.cuni.cz. 2612927 28800 7200 604800 86400 query time: 28 msec server: 127.0.0.1#53(127.0.0.1) when: thu dec 22 07:38:17 2005 msg size rcvd: 116 

Hmmm ... moment ... mate pravdu, jedna se o PTR dotaz na DDD.CCC.BBB.AAA.in-addr.arpa a tenhle dotaz vlastne nevratil odpoved.

;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 0

;; QUESTION SECTION:
;DDD.CCC.BBB.AAA.in-addr.arpa.   IN      A

;; AUTHORITY SECTION:
CCC.BBB.AAA.in-addr.arpa. 10800  IN      SOA     csmat.karlin.mff.cuni.cz. postmaster.csmat.karlin.mff.cuni.cz. 2612927 28800 7200 604800 86400

;; Query time: 28 msec
;; SERVER: 127.0.0.1#53(127.0.0.1)
;; WHEN: Thu Dec 22 07:38:17 2005
;; MSG SIZE  rcvd: 116

... Hmmm ... asi jsem tam ten zacatek plny < a > nemel davat.

Nevím, nejsem odborník, ale myslím, že dotaz na AAA.BBB.CCC.DDD neni totez jako dotaz na DDD.CCC.BBB.AAA.in-addr.arpa...

Diky nacelniku... navic nevim, kam na sva moudra chodi predrecnici...:

[root@server root]# dig -x 212.71.186.163

;  DiG 9.2.4  -x 212.71.186.163
;; global options:  printcmd
;; Got answer:
;; -HEADER- opcode: QUERY, status: NOERROR, id: 55006
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;163.186.71.212.in-addr.arpa.   IN      PTR

;; ANSWER SECTION:
163.186.71.212.in-addr.arpa. 60 IN      PTR     pc163.valachnet.cz.

;; Query time: 349 msec
;; SERVER: 192.168.0.9#53(192.168.0.9)
;; WHEN: Thu Dec 22 13:49:46 2005
;; MSG SIZE  rcvd: 77

[root@server root]# 

To se chápeme, ale nepamatuji se, že by s PTR byl někdy nějaký problém, ten byl a A záznamy.

No jak jsem dal sledoval debatu tak se mozna pomichalo vice veci... - jednak je tu ten kousek VeriSign - to byly tedy A zaznamy (sam jsem to nevedel) - nicmene i PTR zaznamy na IP adresy, ktere dle RIPE a ARINu nejsou prirazeny vubec nikomu se vesele vracelo cosi "smysluplneho". Zda-li za toto muze VeriSign si nejsem vubec jisty, zato si jsem docela jisty, kdo celou tu administrativu ma stale jako svoji pracovni napln...(a kdo je TOP sef) a bohuzel jak se v konkretnich pripadech zda(-lo), neplni svoji ulohu dostatecne svedomite...

BTW nikdy nejsem to nepouzil, ale je rozumne a pripadne, kde se definuji nejake zaznamy pro *.in-addr.arpa - mam na mysli cokoli co by melo opravdu smysl pro konkretni IP adresy?

Ahoj Pavle,
nejsem si jist, ze mluvime o tomtez. Ja si myslim, ze Internet (ten s velkym I) vylezl ze zkumavky nekdy v prvni polovine osmdesatych let.

To, ze se nekdo na Internetu chova v rozporu se standardy, neni vina Internetu. Internet je sit, ktera vydrzi i toto chovani :-) Dokonce vydrzela i to, ze se Verisign po urcitou choval pro nektere genericke domeny ne uplne koser - vraceni platnych A zaznamu pro domeny, ktere nejsou registrovane.

Jsem dalek toho, abych rikal, ze Internet funguje tak, jak bych povazoval za optimalni ja (nebo vetsina lidi, kteri do fungovani internetove infrastruktury vidi), nicmene stejne jako u demokracie vidim pouze horsi varianty.

Je pochopitelne na Tobe, jestli se budes snazit k rozvoji Internetu prispet, ci nikoliv. Ja se snazim - urcite by bylo mozne snazit se vic, ale kazdy mame sve limity :-)

Našel jsem na Wikipedii, že to není nic nového. Nicméně téma je to zajímavé, díky za něj.

http://en.wikipedia.org/wiki/Alternate_DNS_root

Obcas mi to pripada, ze si pleteme bic sami na sebe a obcas se preme, jestli se tim bicem v budoucnu nechame mrskat od holandanu nebo americanu... Bolet to bude stejne, jedine kdybychom to sverili nekomu, kdo nas mlatit nebude... ;-)

Vsecko je jednou poprve. A tak bych se nedivil, kdyby pri pristim konfliktu americane zlikvidovali/poskodili hospodarstvi zeme drive, nez tam vkroci pouze tim, ze by pozmenili root DNS...

No, a co my, cesi, kdyz budeme, jak po nas chce vlada, odevzdavat nase dane po internetu... budeme riskovat, ze nam jednoho dne, kdyz si budeme chtit postavit hlavu, do statni pokladny neodtece ani koruna, protoze tak nekdo rozhodne v jine zemi? Vize je to vzdalena, mozna nerealna, ale ne nemozna.

Je rozumne _programove_ vytvaret zivotni zavislost na Internetu, kdyz vime, ze je mimo nasi kontrolu? Neni rozumnejsi alespon programove neznasilnovat ten "pokrok" anebo zajistit, aby se "pokrok" nestal "nekontrolovanou zavislosti" a tim hrozbou?

Hm. Jsem proste jeden z tech, co "nemusi americany" - alespon v tomto ohledu, ja vim, ale nejsem moc klidny, kdyz vim, ze nekdo za morem vpodstate bude "kontrolovat" vyplaceni meho duchodu a kdyz se mu zamane, tak po nejakou dobu nebudu mit pristup ani k duchodu ani ke sve e-bance... Staci, ze to kontroluji horke hlavy, ktere hovori stejnym jazykem jako ja.