Publié le 05-09-2008 18:09 sur la mailing-list Bugtraq

Pub : CA Anti-Virus 2007 - Protection exhaustive contre l’intrusion de virus!

On Thu, 2008-09-04 at 15:34 +0200, Ansgar -59cobalt- Wiechers wrote:

> It was pointed out to me in private that, of course, you can have
> multiple PTR records mapping one address to different names. My bad.
>
> However, since oftentimes (colocation scenarios for instance) forward
> and reverse zone have different maintainers, it's some hassle to keep
> the reverse zone in sync with the forward zone. Thus I have my doubts
> that proper reverse mappings for every name will become common practice
> anytime soon.

True, but there are other reasons why this is not such hot idea, as
outlined in the IETF draft "Considerations for the use of DNS Reverse
Mapping"[1]:

3.2 Utility and effectiveness of some reverse mapping uses

Especially in the absence of strong anti-spoofing
mechanisms, like the DNS Security Extensions, a check
for matching reverse DNS mapping should be regarded as
an extremely weak form of authentication. Even
moderately skilled attackers have available to them
tools to spoof DNS responses.
[...]


3.3 The difficulty with blanket policies
[...]
It is possible for there to be multiple PTRs at a single
reverse tree node. In extreme cases, these multiple
PTRs could cause a DNS response to exceed the UDP limit,
and fall back to TCP or otherwise exceed the DNS
protocol limits. Such a case could be one where the
advantages of reverse mapping are exceeded by the
disadvantages of the additional burden. This may be of
particular significance for "mass virtual hosting"
systems, where many hostnames are associated with a
single IP.

Oh, and just as you (and I) until recently thought that there should be
only one PTR for any given address, there is undoubtedly still software
out there that expects <= 1 PTR, so no telling will break (though that
should not be an overriding concern if the security benefits of proper
reverse checking were large enough).

[1] http://tools.ietf.org/html/draft-ietf-dnsop-reverse-mapping-considerations-06

Cheers,
Steven

États généraux : les masques tombent

Le syndicat national des journalistes communique : Les patrons de presse piaffent de plus en plus devant la cheminée où ils ont déposé leurs gros sabots.

Wizzgo vs NouvelObs : Deux poids deux mesures

L´application stricte de la loi DADVSI à l´encontre de Wizzgo. Le Nouvel Observateur va t il être aussi condamné à 480.000 euros d'amende ?

Alliance du mouvement de la jeunesse sur Internet

Les réseaux internet dédiés aux adolescents vont être utilisés pour combattre le crime et le terrorisme.

Jugement de plusieurs pirates de cartes bancaires

Deux anciens légionnaires, des chomeurs, un étudiant, un électricien et un agronome jugés dans une vaste fraude à la carte bancaire dans le sud de la France.

Trois nouvelles taxes pour l'Internet Français

Afin de trouver l´argent qui est censé faire survivre la télévision publique française, trois nouvelles taxes risquent d´arriver sur l'Internet hexagonal.

Clés USB: le Père-Noël est une ordure ?

Méfiez-vous des clés USB que vous allez acquérir pour Noël. Même le Pentagone Américain conseille de ne pas introduire ce genre de matériel dans son ordinateur.

Riposte graduée : Albanel délire

Comment rire avec Christine Albanel ? En l'écoutant expliquer que le retrait de l´amendement 138 était une - très bonne nouvelle -.

Un microcontrôleur pour cartes d´identité sécurisées

Le ST23YR80, un microcontrôleur équipé d'une technologies de cryptographie et d´une capacité de mémoire accrue pour le stockage des données biométriques.