Хотелось бы подробностей, как можно решить эту проблему на НСДИ

✅ Что за проблема такая с DNSSEC? Попробовал порисовать. Со звуком.

Но TTL там 3600, так что через минут 20 в большинсиве мест будет все ок

Немного следствий из ситуации

✅ Охват DNSSEC оказался больше умозрительного. Люди его используют. Это хорошо.

❌ Многие, кто использовал проверку DNSSEC — перестали. Потому что надо работать. Это плохо.

🤡 НСДИ на страже зоны RU выключила (или и не включала) DNSSEC и отчиталась о решении проблемы.

🤡 РКН разослал поручение Дополнительно, необходимо отключить валидацию DNSSEC на DNS серверах. Угу. Средство от ожирения — толстый человек принимает его, и одним толстым человеком на земле становится меньше.

🤝 У сотрудников ТЦИ похоже день не задался. Лучи сочувствия им.

Кстати. Мой доклад про DNS. В том числе и безопасность. С презентацией.

🔥 Кому интересно про DNSSEC. 3-ёх часовое видео (несколько кусочков) на русском о DNSSEC. С презентацией:

🎥 https://youtu.be/rrDL7ymvm0A?si=BHNJfQkVX1ee1kul

🎥 https://youtu.be/I2UEGPM0_ic?si=H4tqo1pPBNcSbx5k

🎥 https://youtu.be/RsPEoPWuxoY?si=K1DxH46deWSIxUEj

🎥 https://youtu.be/7e1Wj1wNRaA?si=5T6VjYL2bTkm9rNv

🎥 https://youtu.be/1b6G4VZJOt0?si=tKk8fiY6WaZyNgj3

🔥 For those interested in DNSSEC, here is a three-hour video (two parts, each one and a half hours long) in English about DNSSEC, with a presentation in Russian:

🎥 https://youtu.be/0CY9EqdPNrg?si=jEbxkgMIahP06Fza

🎥 https://youtu.be/rLRV3_nBaX8?si=hPCE9uqWet6ENB6r

☝️ Зачем нужен HTTPS и сертификаты там? Чтобы вас не обманывали и прослушивали. Зачем нужен DNSSEC? Тоже самое, чтобы никто не подкинул свои данные вместо правильных в запросах DNS.

🙀 Конечно же, когда вы видите предупреждение браузера, что сертификат не тот, вы такие: «Ну что опять такое? Я же должен заплатить миллион тому прекрасному магазину? Нажму-ка я кнопку Игнорировать предупреждение»

❌ Ирония. Вы начинаете беспокоиться — а что не так, может это не тот сайт или прослушка? Или нет?

🤡 Но так не думает человек с ником Ssh за которым мы подозреваем Сергея Сергеевича Хуторцева, начальника ЦМУ ССОП (всея суверенного Рунета). При аварии важно было сервисы оперативно восстановить. У людей приложения не работали, такси не вызывалось, а вы все одно недовольны

🤷‍♂️ Вроде на госслужбе нужно высшее образование. Или хоть какое-то образование. Ну нельзя же настолько.

☝️ Да. Несомненно. Защита так и работает — вы не можете попасть куда-то, если потеряли ключ. И второй ключ под ковриком — плохая защита. Да, простой в случае сбоя — цена защиты.

🎓 Вдруг кому-то интересна тема DNSSEC более глубоко, у меня есть чутка подустаревшее руководство для регистраторов доменов. Не очень ясно, кому оно может понадобиться на русском языке. Но для ознакомления с технологией и возможностями — неплохо.

☝️☝️☝️ Кстати, специально для Сергей Сергеича:
https://rg.ru/2023/09/25/reg-sibfo/v-kuzbasse-nachalsia-sudebnyj-process-po-delu-vladelca-shahty-listviazhnaia.html

🙀 Действительно, не останавливать же добычу угля из-за пищания газоанализаторов? Представляете какие убытки? А метан там всегда есть. Люди годами так работают и ничего. Риски минимальны.

☝️ Эти газоанализаторы ещё и пищат противно. Вот у тебя самоспасатель на боку (который конечно лучше снять и поставить рядом, чтобы не мешал работать), а тут ещё этот писк постоянный. Зачем это всё?

👉 В выдыхаемом воздухе много кислорода, даже искусственное дыхание им делают. Поэтому и реакция плохая.

🔥 А чтобы было не очень смешно обсуждать, свидетельствую, что прямо во время съёмки этого видео в кружочке, в 20км от места съёмки горит угольная шахта. Более полусотни шахтёров и горноспасателей ещё не признаны погибшими. «А чо такого?»

Простите. Это переносной газоанализотор. Подобные приборы горняки обязаны брать с собой в опасную по газу шахту (это не обязательно угольная). Я дую в него и заставляю срабатывать датчик насыщения кислородом (кислорода становится мало). Современные газоанализаторы не только пищат и мигают (но это обязательно), но и передают данные измерений на пульт диспетчера шахты.

🤔 Интересный таймлайн событий 2024-01-30. Зона RU, время по Москве.

15:29:44: последний отмеченный корректный ответ
серийный номер SOA: 4058855
https://dnsviz.net/d/ru/ZbjruA/dnssec/

18:27:27: первый отмеченный сбойный ответ
серийный номер SOA: 4058857
https://dnsviz.net/d/ru/ZbkVXw/dnssec/

20:27:35: отмечена попытка переподписать зону
серийные номера SOA: 4058857 и 4058858
https://dnsviz.net/d/ru/Zbkxhw/dnssec/

20:59:46: начало процесса восстановления
серийные номера SOA: 4058856, 4058857 и 4058858
https://dnsviz.net/d/ru/Zbk5Eg/dnssec/

22:07:29: первый отмеченный полностью корректный ответ
серийный номер SOA: 4058856
https://dnsviz.net/d/ru/ZblI8Q/dnssec/

Что происходит с доменной зоной RU? Починили ли? Что это было?

🤷‍♂️ Все отчитались о починке или промолчали. Депутат Горелкин не упустил момента поворчать как старый дед. Профильные каналы молчат.

🚬 Но сейчас на серверах всё ещё лежит старая зона с серийным номером 4058856. Домены .ru регистрируются, но на серверах не появляются и пользоваться ими нельзя. Нельзя так же сменить NS или ключи DNSSEC для своих доменов второго уровня в .ru

Ничего пока не закончилось