За DNS "фешъните" и техническия упадък

Търсейки неща по темата DNSSEC, попаднах на невероятно четиво по темата. Жалко, че цяло лято е останало незабелязано от мен, но пък за сметка на това лятото за мен не е минало под знамето на техническата некрофилия и мозъчното обедняване. Това е един типичен пример за електронен боклук, част от електронното сметище linux-bg.org. За авторите на "ициативата" bg.linux-bg.org могат да се кажат само тъжни и мрачни неща, някои от които могат да ви развалят от съня до храносмилането. По традиция всяка инициатива водена от един истински DNS "фешън" като Илия Базлянков, е пример за технически упадък, липса на елементарни знания и откровен инфантилизъм. Авторът на изобретението "коренов сървър за имена в софийски LAN доставчик" и други небивали по своята идиотщина изобретения, които са недостижими дори от инициативите на метреса Ганчева и внука на дедо Венко, този път го е откарал съвсем през просото и явно е бил силно афектиран от това, че не е разбрал какво е то DNSSEC. След прочит на личната му драма обаче, се установи, че това е най-малкия му проблем. Оказва се (за пореден път), че този виден блекметълист и голям приятел на арабския свят (а ние знаем и без да го казваме кои са приятели на арабите), не познава DNS.

За да не потъне в забвение една такава творба на неясната мисъл, ще си позволя да извадя сентенциите от нея. Някои от тях са наистина мега.

"RIPE е организацията, която контролира root сървърите за Европа." - това е меко казано тъпотия. Първо основната цел на RIPE е да бъде регионален IP регистър. Второ, RIPE е оператор само на k.root-servers.net по стечение на определени обстоятелства (не е обща практика RIR да става оператор на коренов сървър за имена, а напротив, изключение е). В Европа се намират в anycast режим възли на f.root-servers.net (опериран от ISC - организация базирана в САЩ), на i.root-servers.net (оператор Autonomica, организация базирана в Швеция), j.root-servers.net (оператор VeriSign, базирана в САЩ търговска организация) и m.root-servers.net (оператор WIDE, базирана в Япония изследователска организация). Който иска да види тези неща черно на бяло, нека да посети адрес http://www.root-servers.org. Да не говорим, че RIPE няма надзирателна функция над никой коренов сървър, освен над своя. Също така някой от лекуващите лекари да обясни на пациента Базлянков, че RIPE оперира не само в Европа.

Лично у мен предизвиква стрес обаче изявлението "като дори автора на домейн системата Paul Vixie". След подобно изявление става ясно, че си имаме работа с откровен идиот, който има само претенциите да се афишира като DNS специалист, но не знае ементарни неща за DNS. Дори ватманите от депо "Красна поляна" знаят, че системата за имена е разработена в основната си част от Джон Постел (по времето, когато е работил за Information Sciences Institute), а съвремената й част е дело преди всичко на Пол Мокапетрис (пак от ISI) и Робърт Брейдън (ISI). Пол Викси започва работа по DNS през 90-те години на миналия век и е известен с разработките си по протокола на DNS, разработката на BIND4 (частично BIND8, който е вече истински проект на общество от разработчици, координиран ос ISC, същото се отнася и за BIND9), и инфраструктурата на сървърите за имена.

Една от незабравимите сентенции на мъдростта е "Експерти смятат, че начина по който от Регистър БГ са въвели DNSSEC е неправилен и на практика е безполезен". Култово и незабравимо. Има само един начин за въвеждане на DNSSEC - факт, който средностатистическия идиот не разбира. Същият, по който RIPE са въвели DNSSEC за всички in-addr.arpa зони, регистър за които са, и допълнително за зоните на домейни на RIPE. Нарича се "остров на доверие" и за сега е единственият работещ механизъм за DNSSEC делегиране (което е на практика самоделегиране). Който има някакви съмнения, нека посети адрес https://www.ripe.net/projects/disi//keys/ и се убеди сам в това, което говоря. Делегирането на bg зоната като DNSSEC остров на доверие е абсолютно същото като използваното от RIPE. Интересно как ли да се нарича човек, който не е видял това (и какви познания има той в DNSSEC, освен заглавието). За да покажа нечия идиотия и незнание, ще кажа само, че DNSSEC делегиране за in-addr.arpa може да се направи автоматично от всеки краен ползвател на адресен сегмент, отдаден от RIPE.

Любим епизод е и цитата:

„Warning, AFAIK, “.bg” signs the zone but does not delegate (no DS in the zone), unlike “.se”. A model for the root, signing just the NS and the SOA?“

Пояснявам, за да не ви правят на глупаци. DS записи в зоната на bg си има:

;; ANSWER SECTION:
uni-sofia.bg.           345600  IN      DS      43438 5 2 556387248B1CFD5D7556C0801CBAF26A2F53C27404B782C628D4D3BE 2D15045D
uni-sofia.bg.           345600  IN      DS      43438 5 1 0DF39864A53159F40A8352D594AA470B8AF4BAFB

А и някои хора не са чели изобщо спецификациите в DNSSEC. Не е задължително да се подписва цялата зона. DNSSEC може да се прави и за отделен запис (четене и учене му е майката, иначе се потъва в глобална простотия). Да не говорим, че в момента до голяма част DNSSEC прилагането в зоната bg е експериментално (тепърва предстои да се прилага в whois базата и on-line формата за управление).

Време е в Българското интернет пространство да има един нормален технически портал за ИТ решения. Онлайн сбирки за идиоти като linux-bg.org са вече изцяло в "жълтия" спектър.