Etikettarkiv: binero

Google favoriserar https

IT-Säkerhet, , , , , , , ,

Som Google meddelade för några månader sedan gällande att de avser att favorisera webbsajter som använder sig av https är nu officiellt bekräftat.

Detta är så klart en bra utveckling men många webbhotell åtminstone i Sverige verkar inte riktigt vara med på banan.

För att citera några webbhotell:

”För att ha SSL-certifikat under eget domännamn krävs en egen IP-adress” – Loopia

”Ett SSL-cert med inkluderad privat ipv4-adress” – Binero

Det behövs ej egen IP-adress utan Server Name Indication (SNI) finns implementerat i TLS (SSL) och bör användas istället. Som alla vet så är IP-adresserna slut sedan länge och att slösa på detta sätt gynnar ingen som webbhotellen föreslår.

Att kräva privat IP-adress för tls är lite 1900-tal tycker jag, eller i varje fall före 2010. Vid 2010 påstår jag tåget gick.

Skriver Internetgurun Patrik Fältström i gruppen Kodapor på Facebook.

Det finns även en mängd andra saker som bör tänkas på (lämna gärna en kommentar om jag glömt något mer)

  • Använd protokollrelativa URL:er dvs // istället för http://domän (finns i RFC 1808 sedan 16 år tillbaka)
  • Testa så du får bra betyg via Qualys SSL-Test
  • Håll koll på när certifikatet förfaller
  • Hur gör du revokering om något inträffar såsom Heartbleed?
  • Använd PFS, secure cookies och HSTS.
  • Vilket certifikat ska användas? Domänvaliderat eller EV? Wildcard?
  • Kontollera så du ej har mixed content:

Mixed content

Lättaste sättet att hitta mixed-content är enligt mig att använda Chrome Developer Tools och klicka på Networks-tabben.

Och jag säljer så klart SSL-Certifikat via https.se.

Reflektioner efter DNS-testet

Ingen kategori, , , , , , ,

Irene Fertik, USC News Service. Copyright 1994, USCSom bekant så testade jag DNS-tjänsterna hos Binero, Loopia, Frobbit och GleSYS igår. Här kommer några av de reflektioner som jag och andra har gjort:

1. Troligtvis är anycast DNS det enda som skulle förhindrat den överbelastningsattack som genomfördes mot Loopia.

2. Att bara använda en enda TLD för sina namnservrar är inte bra om denna TLD skiter i det blå skåpet, som .SE – Stiftelsen för Internetinfrastruktur gjorde. Ingen av de leverantörerna jag testade igår har det som med standard. Observera dock att detta enbart gäller om du har domäner i andra TLD:er som är beroende av namnservrar i .SE-zon.

3. Jag tog aldrig pris, svarstider, upptider eller support i beaktning vilket du som beställare av en DNS-tjänst bör göra om du anser att det är viktigt. Se exempelvis det test som Christian Davén genomförde på upptider för webb.

4. Det framgår ej om en DNS har åtskilliga leverantörer för failover som GleSYS har.

5. 25% av alla .SE-domäner har problem och vi måste göra något åt det. Se pressrelease från .SE

6. Via ett så kallat BGP-looking glass så går det att se hur många vägar det finns till en specifik namnservers nät.  Sunet har en sådan tjänst exempelvis.

Bilden är på Jon Postel och det är honom vi kan tacka för att vi har DNS och många andra standarder i dag.

Postel’s Lag: ”be conservative in what you do, be liberal in what you accept from others” (ungefär ”be conservative in what you send, liberal in what you accept”).

Hur redundant är DNS hos webbhotellen?

Ingen kategori, , , , ,

Eftersom både Binero och Loopia har haft driftstörningar på sina DNS-tjänster (bl.a.) de senaste veckorna så tänkte jag att snabbt kolla hur det ligger till med redundansen hos några av de svenska webbhotellen som jag själv använder för mina domäner (>200 st). Det finns otaliga RFC:er som berättar och hjälper till vid uppsättning och konfigurering av DNS-servrar.

Bild från http://www.flickr.com/photos/70266899@N00/3672689387/

Binero DNS

Binero har följande DNS-servrar ns1.binero.se samt ns2.binero.se med IP-nummer 195.74.36.250 samt 195.74.37.250. Tittar vi på traceroute så kan vi se att de är anslutna bakom olika brandväggar men har en router em1.br1 som är gemensam nämnare. Geo IP lookup säger att båda återfinnes i Kista.

Även så ligger Bineros namnservrar på samma AS41528 (autonomous system). Tittar vi på antalet routrar etc som kan gå sönder mellan Telia och Binero så är det minst två enheter.

Namnservermjukvara är troligtvis Bind 9.4.2-P2.1 (enligt dig @ns2.binero.se version.bind txt chaos)

  • Betyg för Bineros DNS-tjänst: 1/4

Loopia DNS

Loopia har fyra DNS servrar där två av dem har samma IP-nummer, detta ger en falsk känsla av trygghet anser jag, så vi koncenterar oss på ns1.loopia.se samt ns2.loopia.se.

Den första namnserververn har IP-nummer 93.188.0.20 och andra har 93.188.0.21. På en traceroute så ser vi att hela vägen till namnservrarna som återfinnes i Västerås enligt Geo IP lookup har alla routerhop’s gemensamt. Dock så har Loopia enbart ett routerhop hos sig vilket kan ge en fingervisning om ett mindre antal komponenter som kan gå sönder. AS-nummer hos båda namnservrarna tillhör AS39570.

Loopia använder Bind version 9.6.1-P3.

  • Betyg för Loopias DNS-tjänst: 1/4

GleSYS DNS

GleSYS har tre namnservrar där alla är på olika /24 vilket kan båda gott. Vid en traceroute så kan vi se att GleSYS har minst två routerhop som är gemensamma och GeoIP samt min egen gissning säger att servrarna är i Falkenberg samt Stockholm. Alla tre namnservrar ligger under AS43948.

GleSYS använder PowerDNS samt Bind 9.4.2-P1 vilket ger lite extrapoäng.

  • Betyg för GleSYS DNS-tjänst: 2/4

Uppdaterat: Jonas från GleSYS har skrivit en kommentar som förtydligar att de använder fyra olika Internet-leverantörer (kan inte utläsas via traceroute).

Frobbit DNS

Frobbit har tre namnservrar där alla är utspridda på olika /8. Traceroute avslöjar att det inte finns några gemensamma komponenter och GeoIP lookup avslöjar att alla tre namnservrar är utspridda över världen USA bl.a. Även så är det olika AS. Frobbit ska även ha ett pluss i kanten för att två av tre namnservrar stödjer IPv6.

Namnservermjukvara är Bind med olika versioner: 9.4.3-P3, 9.7.2-P3 samt 9.4.3-P4.

  • Betyg för Frobbit DNS-tjänst: 3/4, bra jobbat!

Slutord

Kanske inte helt oväntat att Frobbit får bäst betyg när det gäller redundant DNS-leverans. Vad jag vet så är det ingen leverantör i Sverige som erbjuder anycast-DNS (för litet land? Finns excedodns.se som använder Dynect). Värt att tillägga är också att jag inte betalar specifikt för DNS-tjänsterna hos GleSYS, Loopia och Binero.

Jag anser att anycast bör användas för att erhålla 4/4 som betyg samt använda olika leverantörer av DNS-mjukvara.

Vad anser du?

Vidare läsning:

Lägg inte alla ägg i samma korg

Ingen kategori, , , , , , , , ,

Jag har länge levt efter filosofin att inte lägga alla ägg i samma korg när det gäller serverdrift. Jag använder mig därför av VPS:er samt Co-Location från följande operatörer:

Och när det gäller domändrift såsom DNS och domänregistreringar så använder jag mig av:

Fördelen med detta är att om någon operatör går ner som idag (Hej Binero!) så går inte allt ner.

Diverse nyheter

Ingen kategori, , , , , ,

Här kommer en del intressanta nyheter:

Jaiklinks RSS, Prisr, Kryptera osv

Bloggosfären, Entreprenörskap, , , , , , , , , , , , ,

Vill du veta vad som händer? Lägg till Jaiklinks till din RSS-läsare: http://jaiklinks.com/rss Jaiklinks samlar på länkar från Jaiku

**

Mitt bloggnätverk växer med ytterligare en blogg: Kryptera.se – Information och nyheter om krypto

**

Thord Daniel Hedengren som bloggar på TDH.se (Kontent/Pakten/Cylinder Labs) släpper en ny sajt som heter Prisr där prismedvetna personer kan utbyta pristips.

**

Hjalmar m.fl släpper tidningar.nu och Tuurf Lite

**

Krig mellan Loopia och Binero? Blogginlägg som försvinner. Internet glömmer aldrig