#oarc

[Suite du feuilleton commencé en ►http://seenthis.net/messages/57473 Plus que deux jours avant la fin du monde (ou en tout cas du #DNS).]

Un excellent article technique de l’#OARC sur les bonnes façons de limiter les possibiités d’attaques utilisant le #DNS : ►https://www.dns-oarc.net/wiki/mitigating-dns-denial-of-service-attacks

Un bon article technique expliquant pourquoi l’attaque n’est pas si facile que ça : ►http://www.cricketondns.com/post.cfm/could-a-ddos-attack-against-the-roots-succeed Question de philo : est-ce une bonne idée de dire aux méchants que leur attaque est mal préparée et leur expliquant comment faire mieux ?

Et si vous avez du temps pour lire, tout ce qu’il faut savoir sur les dDoS (plein d’articles référencés) ►http://staff.washington.edu/dittrich/misc/ddos

[C’est suite à une question posée sur Twitter et où la réponse prend plus de 140 caractères. On a le droit d’utiliser Seenthis pour ça ?]

La question était « Existe-t-il une commande qui résolve une adresse et dise si la résolution est signée #DNSSEC ou pas ? »

1) Réponse ultra-courte :
Utiliser le résolveur DNSSEC public de l’#OARC ►https://www.dns-oarc.net/oarc/services/odvr avec la commande "dig +dnssec @149.20.64.21 WWW.LENOM.EXAMPLE". Si la réponse a le "flag" AD (Authentic Data), c’est qu’elle est signée par DNSSEC.

2) Réponse longue :
Installer son propre résolveur validant (avec #Unbound, c’est plutôt simple). Utiliser la même commande dig.

3) Réponse pour chef et commercial :
Il doit y avoir une solution sur le Web mais je ne la connais pas.

L’#ICANN vient d’annoncer la publication du rapport qui avait été réalisé par l’#OARC sur le déploiement de #DNSSEC dans la racine du #DNS. La façon dont ça a été fait, les observations (l’augmentation de la taille des paquets de réponse, par exemple, ou celle des requêtes #TCP), etc.

►http://www.icann.org/en/announcements/announcement-14apr11-en.htm

Et le rapport en :

►http://www.icann.org/en/presentations/dnssec-root-zone-deployment-impact-analysis-15dec10-en.pdf