Vlákno názorů k článku
Identita občana mění design a dočasně vyškrtla mojeID z možností přihlášení od Danny - Uspornou variantu pripousti i autori nove vznikajici knihy...

Uspornou variantu pripousti i autori nove vznikajici knihy o DNS. Ono samozrejme ta puristicka varianta s oddelenymi servery dle role s sebou prinasi naklady navic, o ty servery se nekdo musi taky nekdo starat. A ty naklady na spravu dalsiho serveru budou nepochybne vyssi, nez je rocni poplatek za prodlouzeni nejake domeny. A dosah chyby s neodkonfigurovanou zonou v pripade te usporne varianty je stale velmy omezeny a nejde srovnavat s tim, co se deje pote, kdyz urady usetri dve stovky na nespravnem miste.

Setkal jsem se s tím samým, akorát tenkrát to byla trochu i moje chyba – zrušil jsem delegaci, ale nezrušil jsem zónu u toho ISP. Daniel J. Bernstein už minimálně před čtvrt stoletím tvrdil, že autoritativní DNS server má být oddělen od forwarderu, a tohle je právě jeden z důvodů.

Tak eidentita.cz už drahnou dobu vede na půjčky od Zonky. To určitě není větší problém...

To je sice dost nešťastné (a trapné), ale úplně zásadní problém v tom nevidím. Dokázal bych si představit daleko nebezpečnější způsoby, jak by se získání takové domény dalo využít.

Tak eidentita.cz už drahnou dobu vede na půjčky od Zonky. To určitě není větší problém... opravdu geniální, asi byl problém zaplatit pár stovek ročně.

8. 11. 2023, 08:53 editováno autorem komentáře

delegaci můžete zrušit

Může, ale bohužel to nemusí vždycky stačit. To jsme takhle jednou měli autoritativní nameserver domény u jistého většího ISP a po čase příslušnou službu ukončili a převedli jinam. O několik měsíců později, když se změnila IP adresa webového serveru, přestal najednou určítému nemalému procentu zákazníků web fungovat. A ukázalo se, že ten původně autoritativní nameserver se jednak jako autoritativní choval dál, jednak zároveň fungoval jako forwarder pro všechny zákazníky onoho ISP, takže jim dotazy odpovídal podle staré verze zóny místo té aktuální "oficiální". Naštěstí se je celkem rychle podařilo přesvědčit, že je sice od nich zdánlivě hezké, že nám dál poskytují službu, kterou už dávno neplatíme, ale že už by toho fakt měli nechat. :-)

Není to větší problém, právě naopak. Protože delegaci můžete zrušit lusknutím prstu – nebo dobře, vzhledem k okolnostem se budu držet při zdi – delegaci můžete zrušit. Expirovanou doménu vzápětí koupí nějaký překupník a její zrušení mohou být právní tahanice na roky.

to je maximalni diletantismus, to rozhodne neni normalni

Dovolím si drobnou opravu: to je diletantismus, který bohužel je v této oblasti (státní IT služby pro občany) naprosto normální.

Ja to chapu - jen poukazuju na to, ze dnesni "zjednodusujici" doba jde po nejakem check-listu aka si neco nekde odskrtnout - a u toho neresit, ze vysledek je mozna i horsi. A ty sam dobre vis, ze ja jsem clovek, co se hrabe v tech low-level detailech... co se tam "nahore" prehlizi :D

Abych zjednodusil pochopeni, tak jsem si dovolil vynechat kritiku implementace :-)

Zrovna v pripade eidentita.cz je to ukazkovy fail toho, jak migrace nedelat. Opustit behem par mesicu domenu bez redirectu na "nove reseni" u tak klicove veci, jako je prihlasovani k portalum statni spravy - to je maximalni diletantismus, to rozhodne neni normalni.

A jestli to pod .gov.cz bude fungovat lepe se teprve ukaze. Ono tam muzou vznikat pasticky stylem, ze se domena treti urovne pod .gov.cz oddeleguje na nejaky 3rd party nameserver.... a pri opusteni tam proste navzdy zustane oddelegovana. A tam je to jeste vetsi problem - 2nd level domena aspon vyexpiruje, ale ty 3rd level... tam muzou hnit navzdy.

Nektere urady DNSSEC (uz cele roky) maji. Ale vzhledem ke stylu implementace by udelali lepe, kdyby ho nemeli. Ono nestaci si jen udelat fajfku "mame DNSSEC" - tak jak to na nekterych uradech pojali - a to stylem, ze kdyby povolili AXFR na svych DNS, vyslo by to nastejno...

Bohuzel s tim nedelaji ani samotne instituce po explicitnim upozorneni, a ani NUKIB - ktery u afektovanych instituci upozorneni dostal uz pred lety. Ono ten nas "kyberurad" je vubec celkove tak nejak spise fraskou... na to kolik tam z nasich dani platime lidi.

Holt papírek je už několik let starý a nikdo se neobtěžoval odkazy aktualizovat.

www.datoveschranky.info už bylo sloučeno s www.mojedatovaschranka.cz (nesmyslné oddělení informačního webu se napravilo, mánie institucí pojmenovávat internetové domény „moje“-něco přežila).

eidentita.cz bylo přesunuto na identitaobcana.cz (vzhledem k tomu, že stát vlastnil jen jednu ze skupiny podobných domén, a jednu z podobných domén používá kvalifikovaná certifikační autorita, což je trochu konkurence, bylo opuštění téhle značky rozumné – když už se teda ten průzkum neudělal před jejím zavedením).

Že si veřejné instituce pravidelně nechávají utéct domény, které opustily, hned, jakmile skončí jejich předplacené období, to je bohužel v ČR normální. Lidé, kteří o tom rozhodují, nechápou, proč by si měla instituce dál držet doménu, kterou už nepoužívá. A ti, kteří to chápou, asi mají lepší věci na práci, než to vysvětlovat šéfům projektů, auditorům, kontrolorům…

To bude jedna z výhod domény gov.cz, že tam opuštěné domény okamžitě nezaberou spekulanti.

To je v uplnem poradku. To jenom stat dokonale naplnuje usneseni vlady o tom, ze vsechny svoje domeny chce poslat pod .gov.cz ...

To usneseni prijde na radu po uspesne implemantaci usneseni vlady o tom, ze vsechny sluzby vlady maji byt pristupne po IPv6 a dalsim, ze maji mit zabezpecenou zonu pomoci DNSSEC.

A překvapující (?) je i stránka https://www.datoveschranky.info/

Dneska jsem si byl pro eobčanku a dostal jsem následující papírek:


eidentita.cz
KLÍČ K ELEKTRONICKÝM SLUŽBÁM
Informace, které se týkají
občanského průkazu s čipem,
jeho aktivaci a využití najdete na
následujících internetových adresách:
www.gov.cz
www.info.eidentita.cz
www.datoveschranky.info
www.czechpoint.cz
www.mvcr.cz


je trochu překvapující kam vedou weby:

http://identita.cz
http://eidentita.cz
http://e-identita.cz
A odkaz z papírku výše:
http://www.info.eidentita.cz