Slo-Tech - Mozilla v Firefoxu sicer že dlje časa podpira šifrirane poizvedbe na domenskih strežnikih (DNS over HTTPS oziroma DoH), a je bilo treba to funkcijo ročno vključiti. Odslej bo to privzeta nastavitev, a za začetek le za uporabnike v Severni Ameriki. DoH je pomemben gradnik internetne infrastrukture, ki podpira anonimnost in varnost. Medtem ko je dandanes komunikacija s spletnimi stranmi večidel šifrirana (HTTPS), so poizvedbe pri domenskih strežnikih nevarovane. HoT odpravlja to vrzel.
Firefox bo prvi večji brskalnik, ki bo novi standard podpiral privzeto. Za uporabo bomo morali izbrati ponudnika storitev domenskega strežnika, ki sta v Firefoxu trenutno Cloudflare in NextDNS, lahko pa vnesemo tudi svojega, če ga imamo. Kot pojasnjujejo v Mozilli, so jih k uvedbi te storitve prednostno v Ameriki vzpodbudile prakse tamkajšnjih ponudnikov interneta, ki nadzorujejo spletni promet uporabnikov, kar izkoriščajo pri prodaji oglasov. DoH seveda tega ne bo v celoti odpravil, bo pa znatno otežil tovrstne poizkuse. Popolne anonimnosti pa niti ta metoda ne ponuja. Seveda pa DoH ni brez nasprotnikov, saj zlasti organi pregona in strokovnjaki za varnost svarijo, da je pri uporabi DoH izjemno težko na višjem nivoju blokirati dostop do nevarnih domen in strani.
Chrome in Edge takisto podpirata DoH, a ga je treba ročno vključiti, kakor doslej tudi pri Firefoxu.
Bo pa pri Cloudflare nekdo 'užival' in ti prodajal 'ustrezne' reklame.
Izpod dežja pod kap.
Pričujoče sporočilo je (lahko) oglasno sporočilo
- četudi na prvi pogled ni prepoznavno kot tako.
(Zdaj me pa obtožite prikritega oglaševanja, če morete!)
Točno. Tak pristop ni rešitev. Sploh ne tako, da so privzeto na voljo taki trojanci, kot je Cloudflare, še ena velika korporacija, ki se je namenila obvladati in nadzorovati velik del spleta. Kot da Google in podobni niso folk nič naučili.
Kolikor sem seznanjen, Mozilla s tem sicer cilja predvsem na ZDA, kjer je zajemanje in prodaja podatkov s strani ISP-jev menda resen problem. Ampak rešitev to ni.
Poleg tega se mi s tehničnega vidika zdi tlačenje vsega preko HTTP protokola tudi čisto zgrešen pristop. Po svoje razumljiv, a zgrešen.
In so webshiti zamenjali se en ucinkovit protokol (udp, 2 paketka na query) z neucinkovitim protokolom (tcp) in to ravno tam kjer je latenca najbolj pomembna. Ker je ekstra tezko ob dodajanju klasicnega dnsa dodati se njegov public kljuc, svojega pa posiljati vkriptiranem paketu poleg querya. Nee, je treba https notri vtaknit. Se eno sranje na nivoju Poetteringwara (ki je za pricakat v kaksnem temnem vogalu...), ki ze razmislja kako bo v systemdju to default...
Da ne bo nesporazuma, s tem, da kritiziram neko kretensko potezo firefoxa ne hvalim greznice od chroma.
skrajni čas, že vidim žalostne tehnike pri ISPjih kako več nebodo mogli ejakulirat na moje DNS requeste...
Ja ker vecina njih nima kaj drugega za pocet kot gledat tvoje DNS requeste.... kaj resno to kdo misli, da kogarkoli brigajo te stvari in da kdorkoli pri operaterjih gleda kaksne kretenske stvari ti delas po internetu??
@antonija tole je malce drugace kot "žalostni tehnik pri ISPjih, ki drka na @mesarjeve dns requeste" ;) Drugace pa ne vem zakaj bi bilo to problematicno, hkrati pa brez tezav das iste stvari Facebooku ali Googlu, pa se vesela si ko jih das.
...se bodo našle firme, ki so plačale tisoče € za letno naročnino na kakšen DNS filter servis (npr. Cisco Umbrella, DNSWatchGo,...), uporabniki pa bodo gladko šli mimo, ker je admin pozabil na to 'malenkost' v brskalniku, oz. jo ni znal/mogel izklopiti.
Itak je zadnje čase postalo popularno, da se v imenu 'zasebnosti' uničuje in tepta varnost. Razvijalci veliko prepogosto gledajo na svoje 'workaround-e' (kaj drugače jaz tega ne znam poimenovati!) z vidika 'sebičnega individualca', samostojnega, domačega uporabnika.
Pri tem pa popolnoma pozabljajo, da za poslovne uporabnike veljajo druga pravila - ali pa pričakujejo, da bodo poslovni uporabniki to vedeli. Žal se vedno znova izkaže (tudi tu na S-T!), da mnogi poslovni uporabniki te razlike ne razumejo in menijo, da so za poslovno rabo koristni isti prijemi/orodja/tehnike, kot za domačo/individualno rabo.
Dejansko bi morali razvijalci vgraditi opozorilo "Vklop te funkcionalnosti lahko pomeni kršitev varnostne politike podjetja in ima lahko za posledico tudi odpoved delovnega razmerja ter prevzem odškodninske odgovornosti v primeru povzročenega varnostnega incidenta!".
A namesto tega v zgornjem 'messarskem' smislu raje orgazmirajo ob svoji neskončno pametni pogruntavščini, ki bo kvazi zagotovila zasebnost za vsakogar kjerkoli že bo. Enako 'orgazmirajo' privacy freak-i, ki si domišljajo, da so dosegli nov mejnik do popolne zasebnosti, če ne že anonimnosti.
No, vsak orgazem se prej ali slej konča in se moraš soočiti z realnostjo, da ti tak 'workaround' na koncu dela več škode kot koristi - samo kar je pogosto dolga pot do tega spoznanja, nato pa je še toliko težje priznati, da si se 'mogoče' motil.....
In vse to zato, ker si dobil prikazano RELEVANTNO reklamo, ne pa reklamo za viagro, podaljševanje oneta, pršila proti glivicam, ali karkoli je že danes popularno v svetu spama?
Včasih si niti nisem tako prepričan, če je motiv resnično ZASEBNOST - če ni v resnici motiv tista nam vsem dobro znana stara fovšija po načelu "če jaz ne zaslužim od tega, tudi ti ne boš!". Noja, tudi ta princip je povsem legitimen - samo naj ga potem tudi tako oglašujejo. Ne pa da vpijejo "zasebnost! zasebnost!", na FB, Instagram in ne vem kje vse še, pa objavljajo take zadeve o sebi, da te kap.
Pričujoče sporočilo je (lahko) oglasno sporočilo
- četudi na prvi pogled ni prepoznavno kot tako.
(Zdaj me pa obtožite prikritega oglaševanja, če morete!)
Katerega od privzetih dveh je torej bolje izbrati? Cloudflare ali NextDNS
Tole tudi mene zanima. Privzeto je torej Cloudflare, možnost imaš še NextDNS... ali pač po meri. Torej se tu v izogib špijunaži ISPja zaupa DNS ponudniku. Isto kot pri VPNju. Vse temelji na zaupanju. Kako torej, da je Firefox izbral Cloudflare? So res toliko zaupanja vredni, ali le ker so največji?
In, tisti, ki uporabljate Firefox in se dejansko "spoznate na zasebnostne rešitve". Boste imeli DoH vklopljen in izbranega katerega DNS ponudnika? ...in zakaj ja oz. zakaj ne?
Boste imeli DoH vklopljen in izbranega katerega DNS ponudnika? ...in zakaj ja oz. zakaj ne?
Jaz takole gledam na stvar. Ker so zaradi vklopa DoH "organi pregona" v skrbeh, ker ne morejo več z lahkoto blokirati dostop do "nevarnih" domen, pomeni, da ta stvar vsaj zaenkrat deluje in jo je pametno uporabljati
In, tisti, ki uporabljate Firefox in se dejansko "spoznate na zasebnostne rešitve". Boste imeli DoH vklopljen in izbranega katerega DNS ponudnika? ...in zakaj ja oz. zakaj ne?
Odgovor je enostaven. Ali se 'bolje počutiš' če tvoje dns zahtevke vidi ISP ali Cloudflare? Pri nas ISPji (zaenkrat) niso problematični, ker teh podatkov ne obdelujejo. Tako, da osebno nimam preference.
Bolj mi gre v nos DoH iz tehničnega vidika. Se strinjam, da je potrebno imeti protokol, ki omogoča query-je preko varne povezave. Ampak ta DoH je zame en grd hack, ki so se ga spomnili razvijalci browserjev, ki očitno mislijo, da je http rešitev za vse in ne razumejo delovnja celotnega network stack-a. Tlačit en protokol v drugega..cmon. Kam bomo prišli, če bi vsi počeli take neumnosti. Da ne govorim o težavah, ki jih bodo/bomo imeli vzdrževalci omrežij (npr. nat64). Če že naj se uporabi DNS over TLS.
Predvsem je treba tudi premisliti o dejstvu, da Cloudflare (in Google in vsi ostali) operirajo po Ameriški zakonodaji, slovenski ISPji pa po Slovenski.
In v ZDA preprodajanje tvoje spletne zgodovine, obnašanja in vsebine strani še ni bilo prepovedano in ISPji tam te podatke veselo prodajajo za svoj dobiček.
...se bodo našle firme, ki so plačale tisoče € za letno naročnino na kakšen DNS filter servis (npr. Cisco Umbrella, DNSWatchGo,...), uporabniki pa bodo gladko šli mimo, ker je admin pozabil na to 'malenkost' v brskalniku, oz. jo ni znal/mogel izklopiti.
Tisoče € na leto za zaščito, ki jo povprečni uporabnik zaobide? Spodobna podjetja že tako ali tako imajo tvoj MITM appliance, kjer se to gotovo da blokirati?
...se bodo našle firme, ki so plačale tisoče € za letno naročnino na kakšen DNS filter servis (npr. Cisco Umbrella, DNSWatchGo,...), uporabniki pa bodo gladko šli mimo, ker je admin pozabil na to 'malenkost' v brskalniku, oz. jo ni znal/mogel izklopiti.
Itak je zadnje čase postalo popularno, da se v imenu 'zasebnosti' uničuje in tepta varnost. Razvijalci veliko prepogosto gledajo na svoje 'workaround-e' (kaj drugače jaz tega ne znam poimenovati!) z vidika 'sebičnega individualca', samostojnega, domačega uporabnika.
Pri tem pa popolnoma pozabljajo, da za poslovne uporabnike veljajo druga pravila - ali pa pričakujejo, da bodo poslovni uporabniki to vedeli. Žal se vedno znova izkaže (tudi tu na S-T!), da mnogi poslovni uporabniki te razlike ne razumejo in menijo, da so za poslovno rabo koristni isti prijemi/orodja/tehnike, kot za domačo/individualno rabo.
Dejansko bi morali razvijalci vgraditi opozorilo "Vklop te funkcionalnosti lahko pomeni kršitev varnostne politike podjetja in ima lahko za posledico tudi odpoved delovnega razmerja ter prevzem odškodninske odgovornosti v primeru povzročenega varnostnega incidenta!".
A namesto tega v zgornjem 'messarskem' smislu raje orgazmirajo ob svoji neskončno pametni pogruntavščini, ki bo kvazi zagotovila zasebnost za vsakogar kjerkoli že bo. Enako 'orgazmirajo' privacy freak-i, ki si domišljajo, da so dosegli nov mejnik do popolne zasebnosti, če ne že anonimnosti.
No, vsak orgazem se prej ali slej konča in se moraš soočiti z realnostjo, da ti tak 'workaround' na koncu dela več škode kot koristi - samo kar je pogosto dolga pot do tega spoznanja, nato pa je še toliko težje priznati, da si se 'mogoče' motil.....
In vse to zato, ker si dobil prikazano RELEVANTNO reklamo, ne pa reklamo za viagro, podaljševanje oneta, pršila proti glivicam, ali karkoli je že danes popularno v svetu spama?
Včasih si niti nisem tako prepričan, če je motiv resnično ZASEBNOST - če ni v resnici motiv tista nam vsem dobro znana stara fovšija po načelu "če jaz ne zaslužim od tega, tudi ti ne boš!". Noja, tudi ta princip je povsem legitimen - samo naj ga potem tudi tako oglašujejo. Ne pa da vpijejo "zasebnost! zasebnost!", na FB, Instagram in ne vem kje vse še, pa objavljajo take zadeve o sebi, da te kap.
Tole je pa enako jokanje, kot se je dogajalo, ko se je https malo bolj razrasel. Privacy "freaki" nimajo nic s tem, za lastno nesposobnost se sistemci pac ne boste zgovarjali na njih, boste pac placali, da ti bom jaz zadevo postavil kaj manj salabajzersko, da ti en preprost alternativen nacin resolvanja vse skupaj zhebe. In ne ne bom nikomur razlagal kako.
In so webshiti zamenjali se en ucinkovit protokol (udp, 2 paketka na query) z neucinkovitim protokolom (tcp) in to ravno tam kjer je latenca najbolj pomembna.
Ja, zdaj se ti bo facebook naloadal 0.05 sekunde kasneje, in se to samo prvic ker drugic ga bos pobral iz predpomnilnika . Joj prejoj, cant live s takimi latencami
Odgovor je enostaven. Ali se 'bolje počutiš' če tvoje dns zahtevke vidi ISP ali Cloudflare?
Ni samo to. Z DoH izboljšaš tudi avtentikacijo in data integrity, saj je povezava med uporabnikovim stub resolverjem in rekurzivnim resolverjem (v tem primeru CloudFlare) šifrirana in avtenticirana.
...se bodo našle firme, ki so plačale tisoče € za letno naročnino na kakšen DNS filter servis (npr. Cisco Umbrella, DNSWatchGo,...), uporabniki pa bodo gladko šli mimo, ker je admin pozabil na to 'malenkost' v brskalniku, oz. jo ni znal/mogel izklopiti.
Tisoče € na leto za zaščito, ki jo povprečni uporabnik zaobide? Spodobna podjetja že tako ali tako imajo tvoj MITM appliance, kjer se to gotovo da blokirati?
Varnostno ozaveščena podjetja že nekaj časa vedo, da se na obrambo "zidu okoli trdnjave" ni za zanašati, zaradi česar jih DoH v FF ali pa kako drugače ne zadeva. Za ostala podjetja pa velja, da v informacijskem sistemu nimajo nečesa, kar bi bilo vredno pokrasti, sicer bi se že preselila v kategorijo varnostno ozaveščenih.
V igri za DoH so zato zgolj navadni potrošniki ... tam, kjer je pač denar.
Saj v hitrosti marsičesa tudi zmaga npr. Google, pa to nikakor ni zadosten razlog, da bi se ga uporabljalo.
V Sloveniji oz. EU se mi zdi ISP daleč manjši varnostni problem, kot je Cloudflare. Še najbolje pa je, da uporabljaš svoje resolverje. Pa ne za DoH, pač pa za vse.
Ahm, google je neka povprečno hitra rešitev glede razreševanja (in morda precej radovedna), da se brati tudi v vpogledu in prodaji podatkov s strani domačih ISP-jev. Cloudflare ima sicer dokaj dober renome, na njihov račun letijo predvsem opazke da "ščitijo hate speech" itd. - zaradi svojih nevtralnih stališč. Dobro branje: https://www.fastcompany.com/90312063/ho...
Eno vprašanje... če je tole vklopljeno, a Firefox potem ignorira lokalni hosts file in njegove eventuelne blackliste? Ali pa vseeno najprej naredi poizvedbo v lokalnem hosts in šele potem namesto DNS uporabi DoH?
Ignorira vse. Ima pa Firefox posebej nastavitev, ki ni vidna preko GUI:
network.trr.excluded-domains
(default: ``) Comma separated list of domain names to be resolved using the native resolver instead of TRR. Users may add domains they wish to exclude from TRR to this pref.
This pref can be used to make /etc/hosts works with DNS over HTTPS in Firefox. Setting network.trr.excluded-domains to include host names from /etc/hosts will make them fall back to platform DNS, which will use the rules in /etc/hosts.
V igri za DoH so zato zgolj navadni potrošniki ... tam, kjer je pač denar.
Pa še to ni zanimivo za slovenskega potrošnika, ker ga ISP tako ali tako ne sme slediti, beležiti DNS query-je, prodajati podatke najboljšemu ponudniku.
Skratka overkill in nepotrebna dodatna latenca.
Ne vem zakaj toliko poudarjaš, da se danes ni več za zanašati na 'zid okoli graščine', ker je to zgolj vprašanje perspektive in se zelo hitro konča v napačnem razumevanju / interpretaciji tematike. Ustvarja namreč vtis, da 'ozaveščena podjetja' danes nimajo več požarnih pregrad, ali pa da so te samo še nek 'osnovni filter' (pa še to 'odvečni') - medtem ko je resnica ravno nasprotna - da so danes požarne pregrade veliko bolj kompleksne, se integrirajo z celo kopico dodatnih servisov in kontrol, tako na odjemalcih, kot v 'oblaku'.
Se pa strinjam, da so DOH&Co 'Consumer rešitve/feature' in po mojem mnenju v poslovnem okolju nimajo kaj iskati drugje, kot morda v omrežju za goste.
Ne vem zakaj se nekateri posmehujejo "DNS Security" rešitvam (katere si znajo biti hitro v navskrižju z DOH&Co)- če so te tako zelo želeno 'DNS zasebnost' nudile mnogo prej, kot okorni DOH workaround v brskalniku.
V tujih forumih marsikdo kot low-end / Consumer 'zaščito' priporoča uporabo klasičnega routerja, nadgrajenega z OpenDNS. O kakovosti OpenDNS se sicer da špekulirat..... Koliko teh domačih uporabnikov sploh ne bo dojelo, da jim brskalnik dela ovinek okoli 'zaščite', ki so si jo v dobri veri namestili?
Druga plat zgodbe, ki jo 'navdušenci' pozabljajo: OS, vsi ostali servisi in programi še vedno uporabljajo DNS strežnike, ki so konfigurirani v nastavitvah omrežja in si prav nič ne znajo pomagati z DOH&Co. Zelo zabavno potem postane reševanje težav - ti stran ne odpre v brskalniku, odpreš ukazno vrstico in izvedeš nslookup - pa lahko dobiš popolnoma drug IP naslov, kakor ga je v resnici uporabil brskalnik, ki je dobil IP preko DOH...
Kar se tiče cenzure, pa Cloudflare tudi ni ravno nepopisan list papirja. So v preteklosti dali jasno vedeti, da so zasebno podjetje in zato zanje ne velja prvi amandma ameriške ustave. Če so v preteklosti bannali the Daily Stormer in 8chan s svojega omrežja - zakaj danes ali jutri nebi ukinili resolvanje neke domene, ki se jim zdi preveč ekstremistična?
Tisoče € na leto za zaščito, ki jo povprečni uporabnik zaobide? Spodobna podjetja že tako ali tako imajo tvoj MITM appliance, kjer se to gotovo da blokirati?
Ajajaj.... spet problemi z 'mojim MITM appliance'?!?
Daj, da ti pojasnim......
Cisco je pred leti kupil OpenDNS in komercialno varianto prodaja pod imenom Cisco Umbrella kot dodatno DNS bazirano zaščito za svoje stranke. Posebej zanimiva je ta opcija za uporabnike starih ASA naprav, ki jim tako dodajo kar nekaj več vpogleda v dogajanje, kot tudi možnost blokiranja rizičnih kategorij IP naslovov / domen. Če nisem čisto narobe informiran, je cena NAROČNINE za to opcijo nekje okoli $3/user/mesec, kar pri 100 userjih znaša $300/mesec, oz. $3.600/leto. Cisco Umbrella ni edina tovrstna varnostna storitev, večinoma pa so cenovno 'tu nekje'. Vsem skupno je to, da pokrivajo celotno razreševanje DNS prometa, ne pa zgolj dela, katerega generira brskalnik (čeprav je ta dejansko večinski).
Niso pa zgolj uporabniki starih ASA naprav kupci tovrstnih "DNS Security" dodatkov - te samostojne rešitve so zanimive za vsa podjetja, ki nimajo naprednih varnostnih storitev na svojih požarnih pregradah (Mikrotik, Ubiqiti,...). S tem pa se potem tudi že prične porajati vprašanje, kaj sploh lahko (oz. znajo?) filtrirati na svoji požarni pregradi. Če je ta konfigurirana tako kot večina tovrstnih 'basic' naprav, potem v smeri proti internetu ne filtrirajo popolnoma ničesar (razen tistega, kar jim je blokiral DNS filter).
Ker DOH deluje preko https, ga brez poglobljene inšpekcije in/ali dekripcije lahko prepoznaš le glede na IP naslov, kjer bo razreševal query-je. Ta pa zagotovo ni statičen, tako da bi moral blokirati cel niz naslovov (običajno 'preproste' požarne pregrade ne omogočajo FQDN vnosa naslovov v filtre). Preveč 'radodarno' blokiranje pa bi na koncu lahko prišlo v konflikt z ostalimi Cloudflare storitvami, do katerih nebi mogel več dostopati.
Skratka - tipični kupci "DNS Security" rešitev bodo imeli kar nekaj preglavic, da onemogočijo DOH, da bi še naprej ostal kupljeni servis edini DNS servis v uporabi. Pri tem se Firefox ne navdušuje nad group policy, da bi lahko za celo domeno centralno nastavil oz. izklopil DOH.
Kar nekaj aspektov, ki jih moraš 'obdelati', da bi stvar razumel v širšem kontekstu.
Je mogoče zdaj bolj jasno, zakaj zmajujem z glavo, ko berem zapise pretirano nekritičnih 'navdušencev'? Pri tem so problemi z "DNS Security" rešitvami zgolj eden od možnih zapletov (nekdo drug je že omenjal NAT64/DNS64).
Torej na koncu - zakaj bi v POSLOVNEM okolju hotel imeti nekaj, kar lastniku/adminu predstavlja 'vohunsko tehnologijo', kar mu iz rok jemlje nadzor nad lastnim omrežjem in po nepotrebnem povečuje tveganje? Zakaj bi si delal dodatne težave z optimizacijo / prilagajanjem takim tehnologijam?
Heh, imam MVPS hosts dodane, kar je blizu 12k hostov. :D Torej cakamo na feature, ki bo uposteval "hosts first"...
Kaj se ti mora hudega zgoditi, da si greš 12k IP naslovov nabutat v hosts file?!?
In kaj narediš potem, ko se nek naslov spremeni? Pri 12k naslovih moraš imeti spremembe na dnevnem redu!
Kaj za IPv6 jih tudi vpisuješ v hosts file?
Pričujoče sporočilo je (lahko) oglasno sporočilo
- četudi na prvi pogled ni prepoznavno kot tako.
(Zdaj me pa obtožite prikritega oglaševanja, če morete!)
Ne vem zakaj toliko poudarjaš, da se danes ni več za zanašati na 'zid okoli graščine', ker je to zgolj vprašanje perspektive in se zelo hitro konča v napačnem razumevanju / interpretaciji tematike.
Ničesar ne poudarjam, ker točno vem kdo bo "triggered" in bo mene in vse ostale obdaril z daljšim monologom - sem si pač že popoldne zagotovil, da bom imel na volje kakšno branje ob katerem bom lahko zaspal.
Ne vem zakaj toliko poudarjaš, da se danes ni več za zanašati na 'zid okoli graščine', ker je to zgolj vprašanje perspektive in se zelo hitro konča v napačnem razumevanju / interpretaciji tematike.
Ničesar ne poudarjam, ker točno vem kdo bo "triggered" in bo mene in vse ostale obdaril z daljšim monologom - sem si pač že popoldne zagotovil, da bom imel na volje kakšno branje ob katerem bom lahko zaspal.
Nisi me razočaral.
V dveh vrsticah se širijo zgolj nesporazumi, trolanje in laži. Razlaga pač potrebuje nekaj več.
Nisem pa jaz kriv, če nekoga ne zanima razlaga ali stališče. Samo ne vem, zakaj se morajo točni ti potem oglašat! Rad verjamem, da je med 'entuziasti' polno takih, ki jih sploh ne zanima nobena razlaga ali drugačno stališče od njihovega - ne glede na to, kako ali od koga je argumentirano. Itak trolom ni problem še tako dober argument pobiti z bullshit komentarjem v dveh vrsticah.
Ne glede na to, pa sem prepričan, da jih ni malo, ki jih zanima tudi malo bolj obširna razlaga stališča - pa se potem ne oglašajo. Pač ni vsakomur namen, da se izpostavlja in potem na koncu še postane tarča forumskih trolov.
Pričujoče sporočilo je (lahko) oglasno sporočilo
- četudi na prvi pogled ni prepoznavno kot tako.
(Zdaj me pa obtožite prikritega oglaševanja, če morete!)
Skratka, če povzamemo: Za domačega uporabnika je DoH v brskalniku dobra stvar in jo je pametno vklopiti tako zaradi zasebnosti kot zaradi varnosti. Na računalnikih v raznih firmah in podjetjih pa DoH raje pustite izklopljen, ker lahko brskalnih drugače zaobide lokalne zaščite, ki so nastavljene v Routerjih.
Skratka, če povzamemo: Za domačega uporabnika je DoH v brskalniku dobra stvar in jo je pametno vklopiti tako zaradi zasebnosti kot zaradi varnosti. Na računalnikih v raznih firmah in podjetjih pa DoH raje pustite izklopljen, ker lahko brskalnih drugače zaobide lokalne zaščite, ki so nastavljene v Routerjih.
Vprašanje torej ostaja le še, katerega DNS ponudnika izbrati - Cloudflare, NextDNS, so še kakšni tretji. In če torej vse temelji le na renomeju in zaupanju v to, kateri je zaupanja najbolj vreden?
Vprašanje torej ostaja le še, katerega DNS ponudnika izbrati - Cloudflare, NextDNS, so še kakšni tretji. In če torej vse temelji le na renomeju in zaupanju v to, kateri je zaupanja najbolj vreden?
Skratka, če povzamemo: Za domačega uporabnika je DoH v brskalniku dobra stvar in jo je pametno vklopiti tako zaradi zasebnosti kot zaradi varnosti. Na računalnikih v raznih firmah in podjetjih pa DoH raje pustite izklopljen, ker lahko brskalnih drugače zaobide lokalne zaščite, ki so nastavljene v Routerjih.
V Sloveniji je DoH za domačega uporabnika interesanten le v primeru, da je paranoičen zagovornik teorij zarote, ki predvideva, da mu ISP 'brska' po DNS poizvedbah, čeprav mu zakonodaja tega ne dovoljuje. Ali pa, da se o tehnologiji ni podučil in je nasedel argumentom, kateri v bistvu merijo predvsem na ameriške uporabnike (za katere bo/je ta funkcionalnost po defaultu vključena).
Drugače pa ne vem kaj bo DoH k vsemu skupaj doprinesel. Ameriški ISP poleg DNS lahko spremlja tudi SNI zapise HTTP/S prometa uporabnikov. To lahko počne popolnoma brez dekripcije, medtem ko paketki 'letijo mimo'. Iz tega pobere vse tisto, kar mu skušaš preko DoH prikriti. Skratka sam sebi mečeš pesek v oči.
Edini obvoz bi bil uporaba VPN, vendar s tem isti problem prestaviš zgolj nekam drugam, na drugega ponudnika. Če lastnemu ISP ne zaupaš - kako potem lahko zaupaš nekemu VPN ponudniku, ki je po možnosti še v neki čisto tretji državi, z povsem drugo zakonodajo, katerega verjetno tudi po sodni poti ne boš mogel preganjati.
Ampak tako, kot v medicini včasih placebo tabletke delajo čudeže, očitno placebo tudi v informatiki dela čudeže, da potem nekateri bistveno bolj mirno spijo, čeprav imajo še vedno iste probleme.
Vprašanje torej ostaja le še, katerega DNS ponudnika izbrati - Cloudflare, NextDNS, so še kakšni tretji. In če torej vse temelji le na renomeju in zaupanju v to, kateri je zaupanja najbolj vreden?
(pri meni se je najbolje odrezal Cloudflare, Arnes in ISP)
GRC test preverja DNS, ne pa DoH!
Ta test je ok, če iščeš kateri rekurzivni DNS server bi si nastavil na svojih strežnikih, da boš dobil najboljše odzivne čase.
Nima pa ta rezultat prav nobene veze z DoH odzivnostjo!
Pričujoče sporočilo je (lahko) oglasno sporočilo
- četudi na prvi pogled ni prepoznavno kot tako.
(Zdaj me pa obtožite prikritega oglaševanja, če morete!)
Skratka, če povzamemo: Za domačega uporabnika je DoH v brskalniku dobra stvar in jo je pametno vklopiti tako zaradi zasebnosti kot zaradi varnosti.
Absolutno. S tem se bos zavaroval pred domacim ISP-jem, ki ima boga in pol zakonov, ki jim prepovedujejo snifanje tvojega prometa, poleg tega nima niti resourcov, da bi se to sploh sel, za povrhu se mu pa se gladko jebe za to kaj ti isces po internetu, hkrati pa bos na pladnju prinesel vse svoje podatke tistemu ponudniku, ki uradno pove, da tvoje podatke prodaja naprej. Tako da ja, jaz absolutno svetujem uporabo ameriskih DNS-jev, VPN-jev in ne vem se cesa. S tem si naredil ogromno za tvojo varnost in anonimnost.
V Sloveniji je DoH za domačega uporabnika interesanten le v primeru, da je paranoičen zagovornik teorij zarote, ki predvideva, da mu ISP 'brska' po DNS poizvedbah, čeprav mu zakonodaja tega ne dovoljuje.
Jaz bi lahko na domačem routerju pogledal, na katero spletno stran se je povezala katera naprava / uporabnik. Četudi je bila povezava potem HTTPS. Po vklopu DoH-ja bi lahko le še ugibal - z reverse DNS-jem IP-ja povezave.
Skratka, če povzamemo: Za domačega uporabnika je DoH v brskalniku dobra stvar in jo je pametno vklopiti tako zaradi zasebnosti kot zaradi varnosti.
Absolutno. S tem se bos zavaroval pred domacim ISP-jem, ki ima boga in pol zakonov, ki jim prepovedujejo snifanje tvojega prometa, poleg tega nima niti resourcov, da bi se to sploh sel, za povrhu se mu pa se gladko jebe za to kaj ti isces po internetu, hkrati pa bos na pladnju prinesel vse svoje podatke tistemu ponudniku, ki uradno pove, da tvoje podatke prodaja naprej. Tako da ja, jaz absolutno svetujem uporabo ameriskih DNS-jev, VPN-jev in ne vem se cesa. S tem si naredil ogromno za tvojo varnost in anonimnost.
Ti si pa upaš!
Kaj ne veš, da je dobesedno bogokletno, če izraziš kakršenkoli dvom ali bognedaj kritiko nad čemerkoli, kar je 'kriptirano'?
Če pa to 'pogruntavščino' zagovarja še kakšen Gugl ali Mozila, potem pa je to zagotovo najboljše po izumu Milka čokolade! Saj vendarle Gugl&Co še nikoli niso doprinesli nič slabega za človeštvo!
Pri tem preseneča, da tisti največji paranoiki in skeptiki, ki ves čas vpijejo, kako nam Gugl nonstop sledi, da se moramo obvezno skrivati, blokirat piškote, uporabljat VPN in kaj vem kaj še imajo na seznamu -- ISTOČASNO pa slepo verjamejo, da je kar vse dobro, kar jim Gugl vsiljuje za njihovo 'zaščito'.
Hja, še tisti, od katerih bi pričakoval, da v širšem kontekstu razumejo 'varnost' in 'zasebnost' (to sta dva popolnoma različna pojma!), tu odpovedo, kaj šele tisti, od katerih tega ne pričakuješ.
Papagaji na strehah nonstop čivkajo, da je problem današnjega Cybersecurity-ja pomanjkanje znanja s tega področja. To pomanjkanje se vidi v vsaki diskusiji, ko se prično oglašati 'privacy freak-i', kateri ne razumejo, da s svojim 'konceptom' podirajo obstoječe varnostne koncepte - kateri baje po njihovo posegajo v nekakšne 'osnovne človekove pravice'.
Včasih se sprašujem, kaj so oni po poklicu, pa če se tudi v njihov poklic vmešavajo amaterji, ki se jim je 'nekaj sanjalo' ali pa so 'nekje nekaj slišali' - v resnici pa pojma nimajo o pojmu. Najhujši pa so tisti, ki so kvazi 'iz foha', pa se potem vmešavajo v slogu proktologa, ki pametuje dentistu, kako mora držati sveder v roki. Ti osebki, ker so 'iz foha', potem ustvarjajo pri nevednih vtis neke strokovne avtoritete, ki se pa zagotovo na veliko spozna... in tako se potem začnejo širiti zmote in dezinformacije, katere nimajo prav nobene veze s kakršnokoli strokovnostjo. Garantiram, da se bo kmalu oglasil kakšen IT "proktolog".....
Jaz bi lahko na domačem routerju pogledal, na katero spletno stran se je povezala katera naprava / uporabnik. Četudi je bila povezava potem HTTPS. Po vklopu DoH-ja bi lahko le še ugibal - z reverse DNS-jem IP-ja povezave.
Morda je pa to namenjeno otrokom od IT staršev?
Hja, boš moral nabaviti boljši router, ki bo znal malenkost globlje pogledati v header TCP paketa?
Drugače je presneto uporabno, če lahko (začasno) vklopiš logiranje DNS query-jev, ko se ubadaš z zaščito IoT naprav. Zadevo priklopiš, potem pa spremljaš, kam vse hoče komunicirati. Vse kar izgleda legitimno si zabeležiš, narediš ustrezna pravila na požarni pregradi, vse ostalo pa eksplicitno prepoveš. Tako potem vsaj veš, da tista igračka ne bo mogla na veliko delati nekega sranja, ne da bi to opazil pri spremljanju statistik.
Pričujoče sporočilo je (lahko) oglasno sporočilo
- četudi na prvi pogled ni prepoznavno kot tako.
(Zdaj me pa obtožite prikritega oglaševanja, če morete!)
Kar se domačih uporabnikov tiče, se še kdo spomne UNPIS ali pa je to že "prazgodovina"?
Podjetje, kjer si IT umišlja, da bo vklop ali izklop DoH spremenil stopnjo njihove informacijske varnosti, si zasluži, kar ga bo doletelo ... če jih ni že doletelo, pa tega niti še ne vedo.
Kar se domačih uporabnikov tiče, se še kdo spomne UNPIS ali pa je to že "prazgodovina"?
Podjetje, kjer si IT umišlja, da bo vklop ali izklop DoH spremenil stopnjo njihove informacijske varnosti, si zasluži, kar ga bo doletelo ... če jih ni že doletelo, pa tega niti še ne vedo.
"Problem" UNPIS-a ne rešuje DoH - rešil ga je že katerikoli tuj DNS strežnik ali banalen zapis v hosts datoteki. Čeprav... če je nezakonito obiskovati tovrstne tuje spletne igralnice, potem so se presneto nerodno in neučinkovito lotili zadeve.
Ostalo tvoje pametovanje o nekih podjetjih, ki si kao nekaj zaslužijo pa je na nivoju IT proktologa! S takimi izjavami samo brezvezno trolaš, pojasnil pa nikomur nisi nič z njimi. No, je pa res, da se tako res ne izpostavljaš, da bi lahko kaj rekel, kar bi lahko kdo drug argumentirano ovrgel kot neumnost.
Ali argumentiraj, ali pa ne ne trosi take pavšalne neumnosti!
Pričujoče sporočilo je (lahko) oglasno sporočilo
- četudi na prvi pogled ni prepoznavno kot tako.
(Zdaj me pa obtožite prikritega oglaševanja, če morete!)
Kar se domačih uporabnikov tiče, se še kdo spomne UNPIS ali pa je to že "prazgodovina"?
Podjetje, kjer si IT umišlja, da bo vklop ali izklop DoH spremenil stopnjo njihove informacijske varnosti, si zasluži, kar ga bo doletelo ... če jih ni že doletelo, pa tega niti še ne vedo.
"Problem" UNPIS-a ne rešuje DoH - rešil ga je že katerikoli tuj DNS strežnik ali banalen zapis v hosts datoteki. Čeprav... če je nezakonito obiskovati tovrstne tuje spletne igralnice, potem so se presneto nerodno in neučinkovito lotili zadeve.
Hočeš reči, da ti takšne stvari sploh ne padejo na pamet, dokler jih nekdo drug ne omeni?
S takimi izjavami samo brezvezno trolaš, pojasnil pa nikomur nisi nič z njimi. No, je pa res, da se tako res ne izpostavljaš, da bi lahko kaj rekel, kar bi lahko kdo drug argumentirano ovrgel kot neumnost.
Ali argumentiraj, ali pa ne ne trosi take pavšalne neumnosti!
Edina neumnost, ki se jo tudi tukaj ponavlja, je to, da DoH nekako čudežno vpliva na varnost informacijskih sistemov podjetja. DoH ima celo vrsto že naštetih slabih lastnosti, ampak to mahanje z rokami zagotovo ni ena izmed njih.
1.) Ne vem, če je 'podpora' nezakonitim dejavnostim nekaj, kar bi nas moralo skrbeti - mene bolj skrbi skrajno neučinkovit in neroden način, kako so se lotili onemogočanja 'nezakonite dejavnosti'. Način je namreč preveč blizu metodam cenzure, kar posledično hitro prižene na plano raznorazne paranoike. Država bi se morala direktno lotiti ponudnikov spletnih iger na srečo, ne pa uporabnikov. Ali bi njihovo dejavnost 'legalizirali' (pobrali koncesije, davke) ali pa jih tožili in naložili kazni, da jim niti na misel nebi prišlo, da na svoji platformi gostijo državljana RS. Vse ostalo je fail in nima nobene veze z DoH tematiko.
2.) Problem proktologa je, da DNS ni v zadnjici.....
3.) Ti očitno poznaš zgolj en tip 'podjetij', druga za tebe ne obstajajo?
Mislim, da sem dovolj izčrpno orisal "DNS Security" tip rešitev, katere se uporabljajo v podjetjih, na katere IMA DoH vpliv, ki se ga morajo admini zavedati (čeprav se OpenDNS uporablja predvsem v domačih okoljih, tako da se tematika tiče tudi nekaterih domačih uporabnikov!).
Ni bilo 'kriljenja z rokami' - bilo je argumentiranje kdo in zakaj bo / bi moral DoH banant s svojih omrežij.
Tudi ni bilo govora zgolj o 'varnostnih' implikacijah, temveč tudi o tehničnih, saj DoH otežuje troubleshooting, če uporabniku iz bilo katerega razloga 'stran ne dela'.
Skratka....kaj je poanta?
Pričujoče sporočilo je (lahko) oglasno sporočilo
- četudi na prvi pogled ni prepoznavno kot tako.
(Zdaj me pa obtožite prikritega oglaševanja, če morete!)
Skratka, če povzamemo: Za domačega uporabnika je DoH v brskalniku dobra stvar in jo je pametno vklopiti tako zaradi zasebnosti kot zaradi varnosti. Na računalnikih v raznih firmah in podjetjih pa DoH raje pustite izklopljen, ker lahko brskalnih drugače zaobide lokalne zaščite, ki so nastavljene v Routerjih.
Čisto narobe si povzel. A si sploh bral temo?
Za domačega uporabnika pri nas je vklop DoH s Cloudflarom ali NextDNS v ozadju nekaj najbolj neumnega, kar lahko naredi.
1.) Ne vem, če je 'podpora' nezakonitim dejavnostim nekaj, kar bi nas moralo skrbeti - mene bolj skrbi skrajno neučinkovit in neroden način, kako so se lotili onemogočanja 'nezakonite dejavnosti'. Način je namreč preveč blizu metodam cenzure, kar posledično hitro prižene na plano raznorazne paranoike.
Razlika med "cenzuro" in "nelegalno dejavnostjo" ni v orodju, temveč v obstoju ali neobstoju zakonske podlage.
2.) Problem proktologa je, da DNS ni v zadnjici.....
Če smo že pri tvojih neumnih metaforah, DNS dejansko je v riti in ravno zato, ker smo neuspešno porabili že veliko časa in energije in ga iz riti nismo uspeli potegniti, se nam "dogaja DoH".
3.) Ti očitno poznaš zgolj en tip 'podjetij', druga za tebe ne obstajajo?
Kategorizacija je odvisna od teme pogovora. Če bi se pogovarjali o financah bi lahko imel kategorijo solventnih in kategorijo nesolventnih podjetij. Če se pogovarjamo o informacijski varnosti, imam lahko kategorijo podjetij, kjer za to zadolženi vedo, kaj delajo in skupino podjetij, kjer za to zadolženi vseh stvari še niso zapopadli.
Ni bilo 'kriljenja z rokami' - bilo je argumentiranje kdo in zakaj bo / bi moral DoH banant s svojih omrežij.
Seveda je to kriljenje z rokami, ker DoH ni od včeraj in tudi ni edini način kooridnacije zlonamerne kode in tudi ni edini praktičen način odtujitve podatkov. Ergo ... komur se je šele pred kratkim "zgodil DoH", očitno pojma nima kaj počne ... oziroma informacije vleče iz reklamnih objav proizvajalcev, ki se drenjajo v novonastalo tržno nišo.
Za tiste, ki vedo kaj delajo in ne čakajo, da jim <vstavi_priljubljenega_proizvajalca> pove, kaj se dogaja, DoH ne spremeni čisto ničesar.
Tudi ni bilo govora zgolj o 'varnostnih' implikacijah, temveč tudi o tehničnih, saj DoH otežuje troubleshooting, če uporabniku iz bilo katerega razloga 'stran ne dela'.
Kar je načeloma prav, saj je v interesu stabilnosti interneta, da ta RFC čim prej crkne.
Poanta je, da so podjetja tista, ki jih DoH še najmanj briga, ker pridejo samo v dveh zgoraj opisanih kategorijah. So toadevno že varna in se jih DoH ne zadeva ali pa tudi že pred DoH niso bila varna in DoH za njih posledično ne pomeni spremembe v stopnji varnosti. Tega nobeno mahanje z rokami in skrivanje za tehničnimi izrazi ne more spremeniti.
Poanta je, da so podjetja tista, ki jih DoH še najmanj briga, ker pridejo samo v dveh zgoraj opisanih kategorijah. So toadevno že varna in se jih DoH ne zadeva ali pa tudi že pred DoH niso bila varna in DoH za njih posledično ne pomeni spremembe v stopnji varnosti. Tega nobeno mahanje z rokami in skrivanje za tehničnimi izrazi ne more spremeniti.
In tole je bistvo vsega skupaj. Zanasanje na DNS v imenu varnosti, cetudi placan (in prodan od prodajalcev snakeoila, ki se zdaj drzijo za glavo) je kretenizem brez primere in ga bo DoH samo razkril, kar je pravilno.
O DoH se pogovarjamo zato, ker je bila tu objavljena novica o tem, da bo Firefox to opcijo vklopil po defaultu - za uporabnike v ZDA.
Nihče ni trdil, da je to kaj novega, je pa več kot očitno še vedno preveč novo za marsikoga, saj mnogi komentatorji niti osnovnega koncepta ne razumejo, posledično tudi ne razumejo implikacij, ki jih bo imel DoH na njihovo domače ali poslovno omrežje (v primeru da takega upravljajo).
Očitno zato, ker še vedno prihajajo z trditvijo/mišljenjem, da je to nekaj zelo koristnega, če DoH vklopijo.
Drugače pa niti ni ne moja, ne tvoja naloga, da bi moralizirala okoli tega kaj bi moral kdo vedeti ali ne vedeti. Če si tu, se posveti posredovanju znanja in informacij drugim osebam - moraliziraj pa potem glede rezistentnosti na poduk, če ti kljub najboljšemu trudu ne uspe posredovati znanja.
V tem kontekstu ne vem, zakaj se razburjaš, če nekdo čaka na proizvajalca XY, da jim nekaj pove - če je ta proizvajalec njegov priljubljeni vir informacij. Tekom let si vsakdo najde različne vire informacij o Cybersecurity novostih. Toda poleg novosti so potrebni tudi 'opomniki', da se predrami zavest o že pozabljenih 'modrostih'. Dokaz temu je tudi to, da še vedno najdeš polno odprtih RDP, SMB, telnet, FTP in drugih portov. Cybersecurity je pač tudi papagajčkanje in trmasto ponavljanje enih in istih 'modrosti', ki so za nekoga drugega 'pred-lanski sneg'.
Še težje postane pri 'modrostih', ki so se v industriji že zdavnaj uveljavile, 'na terenu' pa še vedno najdeš izredno glasne nasprotnike, kateri pa pravzaprav niti dobro ne znajo povedati čemu pravzaprav nasprotujejo, saj samo tehnologijo v resnici ne poznajo, niti niso nikoli delali z njo. Posledično kvasijo naokoli o 'snakeoil-u' in podobnih neumnostih - sami pa ponujajo 'zeliščno terapijo' in ples okoli tabornega ognja z ropotuljico v roki.
Zanasanje na DNS v imenu varnosti, cetudi placan (in prodan od prodajalcev snakeoila, ki se zdaj drzijo za glavo) je kretenizem brez primere in ga bo DoH samo razkril, kar je pravilno.
Ta izjava je ravno tako kretenizem brez primere, priča pa o tem, da se na to področje popolnoma nič ne spoznaš, imaš pa zelo veliko za povedat.
Ne vem - ali to namerno obračate stvari naokoli, da potem izgleda, kot da se nekdo zanaša IZKLJUČNO na DNS? Poleg tega - koliko DNS security rešitev poznaš? Si kdaj delal z Umbrella, Strongarm,....? Ali zgolj nabijaš, ne da bi vedel v kakšnem konceptu se te rešitve sploh uporabljajo v praksi?
Zagotovo ni optimalno, da se nekdo doma zanaša izključno na svoj router, OpenDNS in nek brezplačni AV - definitivno pa je MNOGO bolje, kot če nima nič od tega na voljo. Zato je za moje pojme tvoje pisanje izredno kontraproduktivna samopromocija!
Pričujoče sporočilo je (lahko) oglasno sporočilo
- četudi na prvi pogled ni prepoznavno kot tako.
(Zdaj me pa obtožite prikritega oglaševanja, če morete!)
. 
