...mit einem Jahr Verspätung jetzt auch bei uns! http://futurezone.orf.at/stories/1650306/ Falls wer Ideen für zielgerichteten Aktionismus hat, vortreten... ;) lg, Michael
Ich denke der erste wichtige Schritt ist zu beginnen zu informieren. Die meisten Menschen wissen nicht, was ein DNS Server / IP Adressen / ftp / ... ist. Sie hören: "Kinderpornographie muss mit allen Mitteln verhindert werden" und stimmen dem zu. "Deswegen müssen wir verhindern, dass Menschen auf Daten zugreifen können." Auch das klingt bisher logisch. Als Mensch ohne Vorwissen stimme ich auch dem nächsten Schritt "Deswegen müssen wir entsprechenden Content auf eine Stopseite umleiten" zu. Also. Fakten raus. Wir müssen es schaffen die Probleme beim Namen zu nennen und zu erklären. Damit sie alle Verstehen. Gruß, Armin 2010/6/9 Michael Renner <michael.renner@amd.co.at>
...mit einem Jahr Verspätung jetzt auch bei uns!
http://futurezone.orf.at/stories/1650306/
Falls wer Ideen für zielgerichteten Aktionismus hat, vortreten... ;)
lg, Michael _______________________________________________ Metalab mailing list Metalab@lists.metalab.at http://lists.metalab.at/mailman/listinfo/metalab
ich hab da mit meiner mutter und auch mit meiner holden schon recht lange drueber diskutiert und habe mittlerweile begriffen das man nicht gegen kinderpornosperren argumentieren kann. warum? nah weil kinderporonos genau wie viele andere unschoene dinge im netz verboten und unzugaenglich gemacht gehoeren. aber was heisst das nun? die van der leyen hat da voriges jahr hochtrabende reden geschwunden das sie etwas gegen das vergewaltigen von kindern unternehmen will und dann kommt der chaos computer club und spricht von zensur... achtung! duennes eis. LOESCHEN STATT WEGSCHAUEN. man muss es schaffen den menschen klar zumachen das die dinge durch dererlei massnahmen nicht unzugaenglich sind. diese massnahmen sind ineffizient. sie funktionieren nicht. und ganz abgesehen davon das diese nicht funktionellen massnahmeAn niemanden davon abhalten koennen an grausliche inhalte zu kommen sind sie das FUNDAMENT auf dem der statt eine ZENSUR aufbauen KOENNTE. achtung! auch hier darf man niemals von staatlicher zensur sprechen denn kinderpornos unzugaenglich zu machen ist nicht als zensur vermittelbar. die gefahr liegt da an dem mechanismus der geheime listen benoetigt die von geheimen gremien an geheimen punkten implementiert werden damit uneingeweihte inhalte nicht so einfach erreichen koennen wie es ohne diese mechanismen der fall waere. was auf diesen listen steht weiss man eben nicht. da sind dann eventuell auch kinderpornoseiten drauf. naben politisch unliebsamen seiten oder anderen inhalten die den zensoren dann nicht passen.. dieses fundament muss man verhindern. keine geheimnisse! LOESCHEN STATT WEGSCHAUEN. :* -flo
2010/6/10 Florian Bittner <flo@tekstix.com>: > ich hab da mit meiner mutter und auch mit meiner holden schon recht lange > drueber diskutiert und habe mittlerweile begriffen das man nicht gegen > kinderpornosperren argumentieren kann. > > warum? > nah weil kinderporonos genau wie viele andere unschoene dinge im netz > verboten und unzugaenglich gemacht gehoeren. > > aber was heisst das nun? > die van der leyen hat da voriges jahr hochtrabende reden geschwunden das > sie etwas gegen das vergewaltigen von kindern unternehmen will und dann > kommt der chaos computer club und spricht von zensur... > > achtung! duennes eis. > LOESCHEN STATT WEGSCHAUEN. > > man muss es schaffen den menschen klar zumachen das die dinge durch > dererlei massnahmen nicht unzugaenglich sind. > diese massnahmen sind ineffizient. > sie funktionieren nicht. > und ganz abgesehen davon das diese nicht funktionellen massnahmeAn > niemanden davon abhalten koennen an grausliche inhalte zu kommen sind sie > das FUNDAMENT auf dem der statt eine ZENSUR aufbauen KOENNTE. Bis hierher hast du deinem Zuhörer noch keine gute Argumente gebracht, warum sie ineffizient/unzulänglich sind und nur ein sehr theoretischen Szenario als Einwand gebracht. Wenn technisch Versierte so eine Diskussion beginnen, ist mir ist klar warum Leuten das schwer klarzumachen ist. Denn ab diesem Punkt ist der eine am Händeringen, der andere am abschalten. > achtung! > auch hier darf man niemals von staatlicher zensur sprechen denn > kinderpornos unzugaenglich zu machen ist nicht als zensur vermittelbar. > die gefahr liegt da an dem mechanismus der geheime listen benoetigt die > von geheimen gremien an geheimen punkten implementiert werden damit > uneingeweihte inhalte nicht so einfach erreichen koennen wie es ohne diese > mechanismen der fall waere. > was auf diesen listen steht weiss man eben nicht. > da sind dann eventuell auch kinderpornoseiten drauf. naben politisch > unliebsamen seiten oder anderen inhalten die den zensoren dann nicht > passen.. > > > dieses fundament muss man verhindern. > keine geheimnisse! > LOESCHEN STATT WEGSCHAUEN. Mhm. Man kann selbst bei Sperren auf jeden Fall fordern - dass die Sperrliste öffentlich zugänglich ist, - dass der Sperrvorgang - transparent ist, - begründet sein muss, und - angefochten werden kann. Vor ner Weile gabs die Nachricht, dass Kreditkartensperren das sinnvollste ist: http://futurezone.orf.at/stories/1643433/ lg
> - dass die Sperrliste öffentlich zugänglich ist, Wo würde dann wohl ein krankes Hirn wohl als erstes nach neuen Quellen für "interessante" Inhalte schauen ? Eine solche Liste wäre für die Betreiber gratis Werbung. Und wo soll man den da ansetzen ? Am DNS ? Lächerlich. Direkt als "Filter" bei allen ISPs ? Noch lächerlicher. nene, da gibts nix, man muss da ansezen wo es wehtut, es müssen Stellen geschaffen werden die sich damit mal richtig auseinandersetzen, die im Dreck wühlen und Meldungen von Usern entgegennehmen und dem nachgehen. Dann muss der jeweilige Hoster ausfindig gemacht und und so rasch wie möglich dazu gezwungen werden die Inhalte zu löschen und sämtliche Daten (wer hat da wann was rauf und runtergeladen,wer bezahlt dafür)rauszurücken. Und ja, auch auch die Bezahlunternehmen wären bei mir da in der Pflicht. Leider wirds allein in der EU schon schwer werden umzusetzen, von weltweit will ich garnicht erst reden. Und Hoster die sich hier immer wieder wehren und solches Material weiter zur Verfügung stellen wären bei mir auch gleich aus dem BGP Table gekickt, zumindest mal für ein paar Stunden um zu zeigen das damit nicht zu spassen ist. Unverbesserlichen wird einfach der IP Space komplett entzogen,fertig. Dummerweise fodert das viele integre Menschen in vielen unterschiedlichen Bereichen...das sehe ich eigentlich als noch grösseres Problem als der juristische Rattenschwanz. Am 11.06.2010 um 05:24 schrieb David Draco: > 2010/6/10 Florian Bittner <flo@tekstix.com>: >> ich hab da mit meiner mutter und auch mit meiner holden schon recht >> lange >> drueber diskutiert und habe mittlerweile begriffen das man nicht >> gegen >> kinderpornosperren argumentieren kann. >> >> warum? >> nah weil kinderporonos genau wie viele andere unschoene dinge im netz >> verboten und unzugaenglich gemacht gehoeren. >> >> aber was heisst das nun? >> die van der leyen hat da voriges jahr hochtrabende reden >> geschwunden das >> sie etwas gegen das vergewaltigen von kindern unternehmen will und >> dann >> kommt der chaos computer club und spricht von zensur... >> >> achtung! duennes eis. >> LOESCHEN STATT WEGSCHAUEN. >> >> man muss es schaffen den menschen klar zumachen das die dinge durch >> dererlei massnahmen nicht unzugaenglich sind. >> diese massnahmen sind ineffizient. >> sie funktionieren nicht. >> und ganz abgesehen davon das diese nicht funktionellen massnahmeAn >> niemanden davon abhalten koennen an grausliche inhalte zu kommen >> sind sie >> das FUNDAMENT auf dem der statt eine ZENSUR aufbauen KOENNTE. > > Bis hierher hast du deinem Zuhörer noch keine gute Argumente gebracht, > warum sie ineffizient/unzulänglich sind und nur ein sehr theoretischen > Szenario als Einwand gebracht. Wenn technisch Versierte so eine > Diskussion beginnen, ist mir ist klar warum Leuten das schwer > klarzumachen ist. Denn ab diesem Punkt ist der eine am Händeringen, > der andere am abschalten. > >> achtung! >> auch hier darf man niemals von staatlicher zensur sprechen denn >> kinderpornos unzugaenglich zu machen ist nicht als zensur >> vermittelbar. >> die gefahr liegt da an dem mechanismus der geheime listen benoetigt >> die >> von geheimen gremien an geheimen punkten implementiert werden damit >> uneingeweihte inhalte nicht so einfach erreichen koennen wie es >> ohne diese >> mechanismen der fall waere. >> was auf diesen listen steht weiss man eben nicht. >> da sind dann eventuell auch kinderpornoseiten drauf. naben politisch >> unliebsamen seiten oder anderen inhalten die den zensoren dann nicht >> passen.. >> >> >> dieses fundament muss man verhindern. >> keine geheimnisse! >> LOESCHEN STATT WEGSCHAUEN. > Mhm. Man kann selbst bei Sperren auf jeden Fall fordern > - dass die Sperrliste öffentlich zugänglich ist, > - dass der Sperrvorgang > - transparent ist, > - begründet sein muss, und > - angefochten werden kann. > > Vor ner Weile gabs die Nachricht, dass Kreditkartensperren das > sinnvollste ist: > http://futurezone.orf.at/stories/1643433/ > > lg > > _______________________________________________ > Metalab mailing list > Metalab@lists.metalab.at > http://lists.metalab.at/mailman/listinfo/metalab
On Jun 11, 2010, at 7:03 , Robert Maier wrote:
- dass die Sperrliste öffentlich zugänglich ist,
Wo würde dann wohl ein krankes Hirn wohl als erstes nach neuen Quellen für "interessante" Inhalte schauen ? Eine solche Liste wäre für die Betreiber gratis Werbung. Und wo soll man den da ansetzen ? Am DNS ? Lächerlich. Direkt als "Filter" bei allen ISPs ? Noch lächerlicher.
DNS ist Status Quo und läuft zumindest in den Niederlanden, Großbrittanien und Australien produktiv. Das ganze geht nur solang gut bis DNSSEC überall produktiv ist. Danach wird's wohl in Richtung Nullrouting via BGP gehen, das hat den "Vorteil" das es ohne Tunneling nichtmehr umgangen werden kann (Status Quo im Iran, China und anderen Mitgliedern des Vereins der Freunde der Demokratie). Das wird wohl voraussichtlich solang gut gehen, bis IPv6 flächendeckend ausgerollt ist, danach heissts zurück zum Reissbrett ;). Technisch ist es also ein gelöstes Problem, auch die Koordination mit den ISPs ist kein großes Drama (zähl mal durch wieviel du in Österreich heute noch brauchst), notfalls macht man noch einen Netzsperrvertrag mit den Providern vorab um die ganzen finanziellen und organisatorischen Rahmenbedingungen zu regeln und gut is' (die Uschi hat in Schlaaaaaand schön vorgezeigt wie man das macht). Und das die Gesellschaft kein Problem mit sinnlosem Securitytheater hat ist spätestens seit den Pantoffel- und Gebindetricks bei den Fluglinien restlos bewiesen. Ich hoff' momentan auf das geringe Lobbyinteresse an dem Thema, solang das hierzulande niemand zum Wahlkampfthema aufbläst wird wohl alles in Ordnung gehen... lg, MIchael
Und was hat DNSSEC damit am Hut ? dem kann ich jetzt nicht folgen. Am 15.06.2010 um 11:52 schrieb Michael Renner:
On Jun 11, 2010, at 7:03 , Robert Maier wrote:
- dass die Sperrliste öffentlich zugänglich ist,
Wo würde dann wohl ein krankes Hirn wohl als erstes nach neuen Quellen für "interessante" Inhalte schauen ? Eine solche Liste wäre für die Betreiber gratis Werbung. Und wo soll man den da ansetzen ? Am DNS ? Lächerlich. Direkt als "Filter" bei allen ISPs ? Noch lächerlicher.
DNS ist Status Quo und läuft zumindest in den Niederlanden, Großbrittanien und Australien produktiv. Das ganze geht nur solang gut bis DNSSEC überall produktiv ist. Danach wird's wohl in Richtung Nullrouting via BGP gehen, das hat den "Vorteil" das es ohne Tunneling nichtmehr umgangen werden kann (Status Quo im Iran, China und anderen Mitgliedern des Vereins der Freunde der Demokratie).
Das wird wohl voraussichtlich solang gut gehen, bis IPv6 flächendeckend ausgerollt ist, danach heissts zurück zum Reissbrett ;).
Technisch ist es also ein gelöstes Problem, auch die Koordination mit den ISPs ist kein großes Drama (zähl mal durch wieviel du in Österreich heute noch brauchst), notfalls macht man noch einen Netzsperrvertrag mit den Providern vorab um die ganzen finanziellen und organisatorischen Rahmenbedingungen zu regeln und gut is' (die Uschi hat in Schlaaaaaand schön vorgezeigt wie man das macht).
Und das die Gesellschaft kein Problem mit sinnlosem Securitytheater hat ist spätestens seit den Pantoffel- und Gebindetricks bei den Fluglinien restlos bewiesen.
Ich hoff' momentan auf das geringe Lobbyinteresse an dem Thema, solang das hierzulande niemand zum Wahlkampfthema aufbläst wird wohl alles in Ordnung gehen...
lg, MIchael _______________________________________________ Metalab mailing list Metalab@lists.metalab.at http://lists.metalab.at/mailman/listinfo/metalab
Hi, Excerpts from Robert Maier's message of Tue Jun 15 19:20:27 +0200 2010:
Und was hat DNSSEC damit am Hut ? dem kann ich jetzt nicht folgen.
Der deutsche Ansatz war, Anfragen auf "gesperrte" Hostnamen zu einem Stoppschild-Server zu redirecten, indem man eine gefälsche DNS-Antwort schickt. In DNSSEC bräuchte man zum Generieren einer solchen gefälschten Antwort AFAIK den Key des Domaineigentümers, was wohl allgemein nicht gehen wird. ciao, -- [*Thomas Themel*] " ... oder von Diskette booten. Was ist daran so [extended contact] schlimm? Man bootet ja nicht jeden Monat." [info provided in] [*message header*] - Chris Blum in saar.comp.os.linux
On Tuesday, June 15, 2010, 19:37 Thomas Themel wrote:
Excerpts from Robert Maier's message of Tue Jun 15 19:20:27 +0200 2010:
Und was hat DNSSEC damit am Hut ? dem kann ich jetzt nicht folgen.
Der deutsche Ansatz war, Anfragen auf "gesperrte" Hostnamen zu einem Stoppschild-Server zu redirecten, indem man eine gefälsche DNS-Antwort schickt.
In DNSSEC bräuchte man zum Generieren einer solchen gefälschten Antwort AFAIK den Key des Domaineigentümers, was wohl allgemein nicht gehen wird.
Wenn man falsch oder nicht signierte Records einer signierten Zone ausliefert, ist die Zone dennoch nicht erreichbar und damit die Sperre wirksam. Außerdem wirkt DNSSEC ledglich auf der Strecke zwischen Recursor und Zonenserver. Der Stub Resolver auf der eigenen Maschine kann kein DNSSEC, und der Recursor steht ja meistens gerade bei deinem ISP, der zensieren soll. DNSSEC ist da, um Cache Poisoning zu unterbinden, nicht um die gesamte Strecke zwischen Zonenserver und User abzusichern; dazu bräuchte man noch IPsec oder ähnliches. tl;dr: DNSSEC und Internetzensur sind genauso kompatibel wie normales DNS und Internetzensur.
On Jun 15, 2010, at 20:20 , Benedikt Gollatz wrote:
Wenn man falsch oder nicht signierte Records einer signierten Zone ausliefert, ist die Zone dennoch nicht erreichbar und damit die Sperre wirksam. Außerdem wirkt DNSSEC ledglich auf der Strecke zwischen Recursor und Zonenserver. Der Stub Resolver auf der eigenen Maschine kann kein DNSSEC, und der Recursor steht ja meistens gerade bei deinem ISP, der zensieren soll.
Windows 7 hat DNSSEC Validation Support im Stub Resolver. Andere Betriebssysteme werden wohl nachziehen sobald es relevant wird. Natürlich kann man mit falschen bzw. nicht existenten Records noch ein Denial of Service verursachen, aber meine starke Vermutung ist dass das den betreffenden Kreisen nicht genügen wird. Die Zensur wird ja momentan sehr stark am "Informieren & Abschrecken" festgemacht, und das ist dann nicht mehr gegeben.
DNSSEC ist da, um Cache Poisoning zu unterbinden, nicht um die gesamte Strecke zwischen Zonenserver und User abzusichern; dazu bräuchte man noch IPsec oder ähnliches.
Um das in Kontext zu setzen: Die Integrität jeder Antwort wird gewährleistet, ja. Einzelne Pakete lassen sich allerdings noch immer leicht rausschiessen, allerdings nicht mehr umschreiben. lg, Michael
On Wednesday, June 16, 2010, 00:27 Michael Renner wrote:
On Jun 15, 2010, at 20:20 , Benedikt Gollatz wrote:
Wenn man falsch oder nicht signierte Records einer signierten Zone ausliefert, ist die Zone dennoch nicht erreichbar und damit die Sperre wirksam. Außerdem wirkt DNSSEC ledglich auf der Strecke zwischen Recursor und Zonenserver. Der Stub Resolver auf der eigenen Maschine kann kein DNSSEC, und der Recursor steht ja meistens gerade bei deinem ISP, der zensieren soll.
Windows 7 hat DNSSEC Validation Support im Stub Resolver.
Nein. | DNSSEC in Windows Server 2008 R2 and Windows 7 | Non-validating security-aware stub resolver | | The DNS client service is included in every version of the Windows operating | system, no matter if the computer is also a DNS server. | | The Windows DNS client is a stub resolver, which means it always issues | recursive queries to the DNS servers configured on its network interfaces | (hereafter referred to as local DNS servers). With the implementation of | DNSSEC, the client remains a stub resolver. | | The DNS client is now security-aware, which means that when issuing queries, | the DNS client can indicate to the local DNS server that it understands | DNSSEC by setting the DNSSEC OK bit in queries. The client can also process | the new DNSSEC resource records in addition to the DNSSEC EDNS0 bits in | responses. | | However, the DNS client is non-validating, which means it does not perform | DNSSEC validation; it relies on its local DNS servers for validation | instead. If the local DNS server indicates the successful validation of the | name, the DNS client returns the name resolution results to the application. | If the server failed validation, the client will not return the results to | the application. <http://technet.microsoft.com/en-us/library/ee649277%28WS.10%29.aspx> Wie bitteschön soll ein Stub Resolver auch die ganze Signaturkette verifizieren und gleichzeitig nur ein Stub Resolver sein? Das ist ein Widerspruch in sich. Selbstverständlich vertraut der Stub Resolver dem Recursor, sonst müsste er selbst iterieren und wir alle müssten auf das Caching verzichten.
Andere Betriebssysteme werden wohl nachziehen sobald es relevant wird.
Das bezweifle ich.
DNSSEC ist da, um Cache Poisoning zu unterbinden, nicht um die gesamte Strecke zwischen Zonenserver und User abzusichern; dazu bräuchte man noch IPsec oder ähnliches.
Um das in Kontext zu setzen: Die Integrität jeder Antwort wird gewährleistet, ja. Einzelne Pakete lassen sich allerdings noch immer leicht rausschiessen, allerdings nicht mehr umschreiben.
Nein. Die Integrität ist nur bis zum Recursor gewährleistet. Ab da kann der ISP Schindluder treiben wie er will und auch MITM-Attacken sind ab da möglich, so lange man für diese Strecke kein IPsec o.ä. einsetzt. Dem Recursor vertrauen muss man in beiden Fällen.
On Jun 16, 2010, at 0:57 , Benedikt Gollatz wrote:
Windows 7 hat DNSSEC Validation Support im Stub Resolver.
Nein.
Point taken, bissl zu eilig gelesen.
Wie bitteschön soll ein Stub Resolver auch die ganze Signaturkette verifizieren und gleichzeitig nur ein Stub Resolver sein? Das ist ein Widerspruch in sich.
Kampfrhethorik--. Danke.
Selbstverständlich vertraut der Stub Resolver dem Recursor, sonst müsste er selbst iterieren und wir alle müssten auf das Caching verzichten.
Es sprengt wohl den Rahmen der klassischen Definition eines Stub-Resolvers, das ist richtig. Aufs Caching muss niemand verzichten, es erhöht allerdings die Anzahl der Queries die der Stub Resolver zum Recursor schicken muss etwas. Da die Daten die der Client da abfragt zu dem Zeitpunkt sowieso schon beim Recursor gecached sind (wenn dieser verifiziert) sollte der Aufwand überschaubar sein. Ob das jemanden interessiert ist wohl eine andere Frage, ich fänd' end-to-end integrity schon sehr sexy... lg, Michael
On Jun 16, 2010 at 0115 +0200, Michael Renner appeared and said:
On Jun 16, 2010, at 0:57 , Benedikt Gollatz wrote:
[...*complicated nerd/geek stuff*...]
Euch ist aber schon klar, daß das die meisten Leute nicht beeindrucken wird, oder? Deswegen wird ja als Killerargument Kinderpornographie, Islamismus und Terror eingeführt. Bei dem Dreigestirn kann jeder Stub Resolver sowieso einpacken, egal ob DNSSEC oder nicht. Ich empfehle beim Suchen von Argumenten mehr soziale und allgemein verständlichere Wege der Kommunikation zu suchen. Cheers, Lynx. -- "Reality" is the only word in the language that should alwas be used in quotes. --- My Life with the Thrill Kill Kult, "Nervous Xians"
On Wednesday, June 16, 2010, 01:23 Lynx wrote:
On Jun 16, 2010 at 0115 +0200, Michael Renner appeared and said:
On Jun 16, 2010, at 0:57 , Benedikt Gollatz wrote:
[...*complicated nerd/geek stuff*...]
Euch ist aber schon klar, daß das die meisten Leute nicht beeindrucken wird, oder? Deswegen wird ja als Killerargument Kinderpornographie, Islamismus und Terror eingeführt. Bei dem Dreigestirn kann jeder Stub Resolver sowieso einpacken, egal ob DNSSEC oder nicht.
Michael hat behauptet, mit der flächendeckenden Einführung von DNSSEC habe sich das Thema DNS-Sperren (und -- wenn ich das richtig verstanden habe -- aufgrund des Overblocking-Problems auch das ganze Thema Internetzensur in westlichen Ländern) auf technische Weise erledigt habe (zumindest bis sich IPv6 durchsetzt). Mir ging es nur darum, aufzuzeigen, dass dem nicht so ist, und dass -- DNSSEC hin oder her -- eine politische Strategie vonnöten ist, wie du auch sagst.
On Jun 16, 2010 at 0148 +0200, Benedikt Gollatz appeared and said:
On Wednesday, June 16, 2010, 01:23 Lynx wrote:
On Jun 16, 2010 at 0115 +0200, Michael Renner appeared and said:
On Jun 16, 2010, at 0:57 , Benedikt Gollatz wrote:
[...*complicated nerd/geek stuff*...]
Michael hat behauptet, [...]
Ich weiß, ich hab's gelesen. Ich wollte nur kurz den Realitycheck einwerfen. Wenn im Österreich oder Heute oder sonstwo steht «Hacker umgehen mit Osama BIND Laden die Netzsperren», dann ist der train of though sowieso bei den meisten schon gen Terrorbekämpfung abgefahren. Ich rege nur mal an in andere Richtungen zu denken. «What would grandma do?» Cheers, Lynx. -- "Reality" is the only word in the language that should alwas be used in quotes. --- My Life with the Thrill Kill Kult, "Nervous Xians"
On Wednesday, June 16, 2010, 01:15 Michael Renner wrote:
On Jun 16, 2010, at 0:57 , Benedikt Gollatz wrote:
Kampfrhethorik--.
Sorry.
Selbstverständlich vertraut der Stub Resolver dem Recursor, sonst müsste er selbst iterieren und wir alle müssten auf das Caching verzichten.
Es sprengt wohl den Rahmen der klassischen Definition eines Stub-Resolvers, das ist richtig. Aufs Caching muss niemand verzichten, es erhöht allerdings die Anzahl der Queries die der Stub Resolver zum Recursor schicken muss etwas. Da die Daten die der Client da abfragt zu dem Zeitpunkt sowieso schon beim Recursor gecached sind (wenn dieser verifiziert) sollte der Aufwand überschaubar sein.
Da hast du Recht, wobei ich nicht wissen möchte, was dann passieren würde, wenn der Schlüssel für die Rootzone mal geändert werden müsste... Allein bei allen Recursors Updates einzuspielen ist nicht ganz einfach, wie wir beim Kaminsky-Bug gesehen haben (auch wenn das vergleichsweise gut funktioniert zu haben scheint). Hunderte Millionen von Clients ohne Komplikationen auf den neuesten Stand zu bringen, dürfte ein Ding der Unmöglichkeit sein.
ich fänd' end-to-end integrity schon sehr sexy...
So schön das wäre; wie vor ein paar Mails geschrieben hab, könnte man auch dann Zonen noch unerreichbar machen, auch wenn es sich politisch möglicherweise etwas schwerer durchsetzen ließe. Der Spruch mit den technischen Lösungen für soziale Probleme ist leider wahr.
Teilnehmer (9)
-
Armin Soyka -
Benedikt Gollatz -
David Draco -
Florian Bittner -
Lynx -
Michael Renner -
ra -
Robert Maier -
Thomas Themel