<html>
<head>
<!-- Template generated by Exclaimer Signature Manager Exchange Edition on 11:06:14 Τετάρτη, 18 Σεπτεμβρίου 2019 -->
<meta http-equiv="Content-Type" content="text/html; charset=utf-8">
<style type="text/css">P.ImprintUniqueID {
MARGIN: 0cm 0cm 0pt
}
LI.ImprintUniqueID {
MARGIN: 0cm 0cm 0pt
}
DIV.ImprintUniqueID {
MARGIN: 0cm 0cm 0pt
}
TABLE.ImprintUniqueIDTable {
MARGIN: 0cm 0cm 0pt
}
DIV.Section1 {
page: Section1
}
</style>
</head>
<body>
<div class="moz-cite-prefix">Συμφωνώ πως δεν είναι κακό (για τον τελικό χρήστη) -- και αποδυκνείει τρανά αυτό που φωνάζαμε στις κανονιστικές αρχές ότι το DNS poisoning δεν είναι λύση. Είναι ο σωστός δρόμος, αλλά για εμάς τους network operators, είναι δύσκολος
αυτός ο δρόμος.</div>
<div class="moz-cite-prefix"><br>
</div>
<div class="moz-cite-prefix">On 18/09/2019 11:00 π.μ., Antonios Chariton (daknob) wrote:<br>
</div>
<blockquote type="cite" cite="mid:9330B47B-651A-488F-8BEC-E7C0E5AFFCFF@daknob.net">
Υπάρχουν και δίκτυα που κάνουν destination NAT το port 53 στον δικό τους DNS (ή route τα 8.8.8.8 / 1.1.1.1 locally), το οποίο σε καμία περίπτωση δεν είναι και τόσο καλό.. Και αυτό γίνεται γιατί οι εφαρμογές χρησιμοποιούν τους custom resolvers.
<div class=""><br class="">
</div>
<div class="">Μπορώ να πω πως ως Security person, το Passive DNS Query Monitoring είναι ίσως το 80% της ανίχνευσης επιθέσεων, μολυσμένων hosts, κτλπ. αυτές τις μέρες (για μη-δισεκατομμυριούχες εταιρείες) και μπορεί να βοηθήσει πάρα μα πάρα πολύ, αλλά από την
άλλη καταλαβαίνω και αναγνωρίζω το πόσο σημαντική και ευαίσθητη είναι αυτή η πληροφορία για τον οποιονδήποτε, καθώς πραγματικά λέει τα πάντα. Και άντε, μπορεί να εμπιστεύεσαι τον ISP σου, τι γίνεται όμως με τον διπλανό στην καφετέρια; Τον ιδιοκτήτη του μαγαζιού;
Τον …; Δεν έχεις επιλογή στο κλασικό DNS. Είναι all or nothing. Είτε τους εμπιστεύεσαι όλους, είτε κανέναν. Ενώ αν κάνεις deploy DoT / DoH, και ο client το χρησιμοποιεί, πάλι μπορείς να δεις εσύ όλα τα queries (ΜΕ ΠΑΡΑ ΠΟΛΛΗ ΠΡΟΣΟΧΗ ΠΑΝΤΑ), χωρίς τον ενδιάμεσο.</div>
<div class=""><br class="">
</div>
<div class="">Άρα θα έλεγα πως σαν τεχνολογία δεν είναι κακό, καλό είναι, απλά εξαρτάται πως θα χρησιμοποιηθεί. Θα δουλέψει πάλι με το μοντέλο το παραδοσιακό του ISP DNS Resolver, ή θα βρουν την ευκαιρία 2-3 εταιρείες να πουν στο όνομα της ασφάλειας και της
ιδιωτικότητας πως το παλιό μοντέλο δεν δουλεύει, και άρα θα πρέπει να πάμε στο κεντρικοποιημένο μοντέλο όπου DNS δίνουν μόνο 3 εταιρείες, και τέλος; Σαν εργαλεία αυτά τα δύο δεν προτιμούν το ένα αντί του άλλου. Είναι ουδέτερα. Απλά επειδή ακριβώς οι operators
δεν κάνουν deploy αυτήν την τεχνολογία, το θεωρούν κάποιοι μια καλή δικαιολογία για να τους παρακάμψουν. The way I see it, εξαρτάται από τους GRNO και τους *NO τι θα γίνει.. Ήδη π.χ. Το Android χρησιμοποιεί τον ISP resolver αν υποστηρίζει αυτά τα πρωτόκολλα,
και αλλάζει στο 8.8.8.8 μόνο αν δεν υποστηρίζονται.. Υπάρχει ακόμα κάποια ελπίδα.. :P</div>
<div class=""><br class="">
</div>
<div class="">Αντώνης<br class="">
<div><br class="">
<blockquote type="cite" class="">
<div class="">On 18 Sep 2019, at 10:51, Polyrakis Andreas <<a href="mailto:apolyrakis@lamdahellix.com" class="" moz-do-not-send="true">apolyrakis@lamdahellix.com</a>> wrote:</div>
<br class="Apple-interchange-newline">
<div class="">
<div style="caret-color: rgb(0, 0, 0); font-style: normal;
font-variant-caps: normal; font-weight: normal;
letter-spacing: normal; text-align: start; text-indent:
0px; text-transform: none; white-space: normal;
word-spacing: 0px; -webkit-text-stroke-width: 0px;
text-decoration: none; font-family: Verdana; font-size:
10pt;" class="">
<font style="font-family: Verdana;" class=""><font style="font-size: 10pt;" class="">Με τις #$@#%% που έχουν εφαρμόσει οι κυβερνήσεις διαφόρων χωρών πάνω στο<br class="">
DNS (βλέπε περιορισμός παιγνίων, περιορισμός torrent κλπ στην Ευρώπη,<br class="">
ακόμα αυστηρότερα σε Middle east και αλλού), οι εφαρμογές έχουν αρχίσει<br class="">
να κάνουν δικό τους DNS resolving σε δικούς τους servers, παρακάμπτοντας<br class="">
τον ISP/enterprise, προκειμένου να παρακάμψουν τη λογοκρισία και το<br class="">
poisoning.<br class="">
<br class="">
Καλή μας τύχη με το debugging, goodbye σε ένα καλό εργαλείο για να<br class="">
καταλαβαίνουμε τι κάνουν οι χρήστες στα δίκτυά μας...<br class="">
<br class="">
Είναι όντως καλό θέμα για παρουσίασή και συζήτηση (ισως κάποιο panel;)<br class="">
<br class="">
[Αντώνη, συγνώμη, δεν έχω απάντηση στις ερωτήσεις που θέτεις]<br class="">
<br class="">
<br class="">
<br class="">
On 18/09/2019 10:38 π.μ., Antonios Chariton (daknob) wrote:<br class="">
> Καλημέρα σας,<br class="">
> Στέλνω εδώ αυτήν την ενδιαφέρουσα παρουσίαση:<br class="">
> <a href="https://www.youtube.com/watch?v=pjin3nv8jAo" class="" moz-do-not-send="true">
https://www.youtube.com/watch?v=pjin3nv8jAo</a> από το NLNOG, πάνω στο<br class="">
> “νέο” DNS, και πιο συγκεκριμένα το DNS over TLS (DoT), και DNS over<br class="">
> HTTPS (DoH). Πιστεύω θα ήταν ενδιαφέρον να δούμε κατά πόσο οι<br class="">
> resolvers των ελληνικών παρόχων είναι έτοιμοι και το υποστηρίζουν.<br class="">
> Τους επόμενους μήνες (και ήδη γίνεται από κάποιους), οι συσκευές<br class="">
> (Firefox, Chrome, Android, …) θα ελέγχουν για υποστήριξη DoT στον DHCP<br class="">
> / ISP resolver, και εφ’ όσων δεν υπάρχει, θα χρησιμοποιούν<br class="">
> αποκλειστικά τους 1.1.1.1 / 8.8.8.8. Ίσως θα ήταν μια καλή στιγμή, να<br class="">
> αρχίσει να σχεδιάζεται κάποιο roll out, για να μην στέλνονται όλα τα<br class="">
> DNS queries σε εταιρίες στις ΗΠΑ.. :-)<br class="">
><br class="">
> Προσωπικά κατάφερα να μετατρέψω σχετικά εύκολα τους δικούς μου<br class="">
> resolvers σε DoT, βάζοντας μπροστά το DNSDist, απλά δεν μπόρεσα να<br class="">
> εκδόσω TLS Certificate για αυτούς, καθώς για να εκδοθεί για IP Address<br class="">
> πρέπει να είναι Organization Validation (OV), το οποίο μπορεί να<br class="">
> εκδοθεί μόνο σε στοιχεία οργανισμού, και όχι φυσικού προσώπου. Οπότε<br class="">
> χρησιμοποιώ ένα με domain name, το οποίο προς το παρόν φαίνεται να<br class="">
> δέχονται οι συσκευές.<br class="">
> Για το DoH δεν έχω ασχοληθεί ακόμη, αλλά θα είναι φαντάζομαι επίσης<br class="">
> κάτι αντίστοιχο. Όσον αφορά τα TLS Session IDs που μειώνουν το<br class="">
> latency, λόγω χαμηλού latency στο δίκτυο δεν παρατήρησα διαφορά, είτε<br class="">
> με αυτά ενεργά, είτε με αυτά ανενεργά, αλλά φαντάζομαι σε έναν ISP που<br class="">
> μπορεί να έχει 10-20 ms από κάποιες συνδέσεις με τους DNS του θα είναι<br class="">
> ίσως απαραίτητα.<br class="">
><br class="">
> Υπάρχει κάποιος DNS resolver αυτήν την στιγμή που να υποστηρίζει ήδη<br class="">
> τα παραπάνω πρωτόκολλα; Θα ήταν ενδιαφέρον να δούμε ίσως το πως<br class="">
> υλοποιήθηκε εκεί, είτε σε αυτό το thread, είτε ως παρουσίαση στο<br class="">
> επόμενο GRNOG :-)<br class="">
><br class="">
> Αντώνης</font></font></div>
</div>
</blockquote>
</div>
</div>
</blockquote>
<p><br>
</p>
<br>
<br>
<table id="Table_01" height="225" cellspacing="0" cellpadding="0" width="640" border="0">
<tbody>
<tr>
<td height="34" colspan="4">
<div align="center"><img alt="" src="cid:image850340.PNG@9514ee90.469ab8d0" width="640" height="34"></div>
</td>
</tr>
<tr>
<td style="WIDTH: 307px" height="160" width="308">
<div align="right"><a href="http://www.lamdahellix.com/" target=""><img width="265" height="133" style="border: 0px Solid ; " src="cid:imageaea15b.PNG@1926e385.40b57aa3"></a></div>
<a href="http://www.lamdahellix.com"></a></td>
<td style="WIDTH: 341px" height="160" valign="middle" width="228" align="left"><font style="font-family:Segoe UI;font-size:10pt;color:#1F497D;">Andreas</font> <font style="font-family:Segoe UI;font-size:10pt;color:#1F497D;">Polyrakis</font><br>
<font style="font-family:Segoe UI;font-size:10pt;color:#FF0000;">Business Development Manager, Interconnections and Ecosystems</font><strong><br>
<font style="font-family:segoe uI;font-size:10pt;color:Red;font-weight:normal;">Commercial Operations</font><br>
</strong><font style="font-family:Segoe UI;font-size:10pt;color:#1F497D;">Dir: (+30) 210 68 85
</font><font style="font-family:Segoe UI;font-size:10pt;color:#1F497D;">518</font><br>
<font style="font-family:Segoe UI;font-size:10pt;color:#1F497D;">Tel.: (+30) 210 74 50 770</font><br>
<font style="font-family:Segoe UI;font-size:10pt;color:#1F497D;">Mob: (+30) </font>
<font style="font-family:Segoe UI;font-size:10pt;color:#1F497D;">6972832445</font><br>
<br>
<font style="font-family:Segoe UI;font-size:10pt;color:#1F497D;">Email: </font><span style="font-family:Segoe UI;font-size:10pt;"><a href="mailto:apolyrakis@lamdahellix.com" title="Click to send email to Polyrakis Andreas" target="" style="font-family:Segoe UI;font-size:10pt;"><span style="font-family:Segoe UI; font-size:10pt;">apolyrakis@lamdahellix.com</span></a></span></td>
</tr>
<tr>
<td height="31" colspan="4"><img alt="" src="cid:imagec952ad.PNG@86dde24f.49bcb0c9" width="640" height="31"><br>
<div align="center"><font color="#7d7d7d" size="1" face="Calibri">
<table cellpadding="0" cellspacing="0" style=" text-align: left; vertical-align: top; " class="651bd614-4d8a-4f0d-a8ed-c9c3a2f8b8a8Table">
<tbody>
<tr style="text-align: left; vertical-align: top; ">
<td align="Center" style="padding-right: 5px; "><a href="http://www.lamdahellix.com/" target=""><img width="32" height="32" style="border: 0px Solid ; " src="cid:image5a7f46.PNG@921049f7.418d2f6e" title="www"></a></td>
<td align="Center" style="padding-right: 5px; "><a href=" https://www.linkedin.com/company/lamda-hellix" target=""><img style="border: 0px Solid ; " src="cid:imagef871de.PNG@f3025d41.45aa9508" title="LinkedIn" alt="LinkedIn"></a></td>
<td align="Center" style="padding-right: 5px; "><a href="https://www.facebook.com/pages/LAMDA-HELLIX/400107136708889" target=""><img style="border: 0px Solid ; " src="cid:imaged21627.PNG@3749a1ce.4d8dcf60" title="Facebook" alt="Facebook"></a></td>
<td align="Center" style="padding-right: 5px; "><a href="https://twitter.com/LAMDA_Hellix" target=""><img style="border: 0px Solid ; " src="cid:image1a582e.PNG@7a33cb96.4fac8d3a" title="Twitter" alt="Twitter"></a></td>
<td align="Center" style="padding-right: 5px; "><a href="https://www.youtube.com/user/lamdahellix/" target=""><img style="border: 0px Solid ; " src="cid:imagea2adf5.PNG@e2f71069.4ba4172f" title="YouTube" alt="YouTube"></a></td>
</tr>
</tbody>
</table>
<br>
This email and any files transmitted with it are confidential. If you are not the intended recipient, you should not copy it, re-transmit it, use it or disclose its contents, but should return it to the sender immediately and delete the copy from your system.
LAMDA HELLIX is not responsible for, nor endorses, any opinion, recommendation, conclusion, solicitation, offer or agreement or any information contained in this communication. LAMDA HELLIX cannot accept any responsibility for the accuracy or completeness
of this message as it has been transmitted over a public network. If you suspect that the message may have been intercepted or amended, please call the sender.</font></div>
</td>
</tr>
</tbody>
</table>
<br>
</body>
</html>