Windows 7: "Дозвіл імені localhost обробляється в самому DNS". Чому?

44

Після 18 років файлів хостів у Windows, я здивувався, побачивши це в Windows 7 build 7100:

# localhost name resolution is handled within DNS itself.
#   127.0.0.1 localhost
#   ::1 localhost

Хтось знає, чому ця зміна була введена? Я впевнений, що має бути якесь міркування.

І, можливо, більш важливо, чи є якісь інші важливі зміни, пов’язані з DNS, у Windows 7? Мене трохи лякає думка, що щось настільки принципове, як роздільна здатність імені localhost змінилося ... змушує мене думати, що в Win7 є інші тонкі, але важливі зміни в стеку DNS.

domain-name-system windows-7

— Портман
джерело

Додано щедрості. Спекуляції щодо безпеки є хорошими (і майже напевно правильними), але я сподіваюся, що щедро приваблює того, хто детально вивчив зміни DNS Win7.

— Портман

Хто-небудь може пояснити, як це пов’язано з цим іншим питанням stackoverflow.com/questions/1416128/… і чим справжня помилка? Напевно, я поки що скаментую запис ipv4 localhost у своєму файлі хоста.

— Тиндалл

29

Я перевірився у розробника в команді Windows, і реальна відповідь набагато нешкідливіша за інші відповіді на цей пост :)

У якийсь момент у майбутньому, коли світовий перехід від IPV4 до IPV6, врешті-решт IPV4 буде відключений / видалений компаніями, які хочуть спростити управління мережею у своїх середовищах.

У Windows Vista, коли IPv4 було видалено, а IPv6 увімкнено, запит DNS для адреси A (IPv4) призвів до зворотного звороту IPv4 (який надходив з файлу хостів). Це, звичайно, спричинило проблеми, коли IPv4 не був встановлений. Виправлення полягало в переміщенні постійно присутніх записів циклу IPv4 та IPv6 від хоста до DNS-рішення, де їх можна було самостійно відключити.

-Сейн

— Шон Ерп
джерело

1

якщо у вас є прямий зв'язок з командою Windows, ви можете , будь ласка , отримати їх , щоб переконатися , що NSEC3 підтримується? Перевірка DNSSEC без NSEC3 буде марною! Я знаю на факт, що .com буде використовувати NSEC3, коли він підпишеться десь у 2011 році.

— Alnitak

(у валідирувальній заглушці, тобто).

— Альнітак

9 1/2 року пізніше і досі користуються IPv4 :)

— Крістіан

7

Windows 7 представляє (необов'язково) підтримку перевірки DNSSEC . Елементи керування можна знайти у розділі "Політика щодо вирішення імен" у плагіні "Місцева групова політика" ( c:\windows\system32\gpedit.msc)

На жаль, він (AFAIK) не підтримує записи RFC 5155 NSEC3 , які багато великих операторів зон (у тому числі .com) будуть використовувати, коли вони перейдуть наживо з DNSSEC протягом наступних двох років.

— Альнітак
джерело

Я другий відношення до реалізації DNSSEC: news.softpedia.com/news / ... .

— aharden

5

Зважаючи на те, що все більше додатків у Windows використовують IP для того, щоб говорити про себе, ймовірно, включаючи ряд служб Windows, я міг бачити, як хтось міняє localhost, щоб вказати десь ще як на цікавий вектор атаки. Я здогадуюсь, що це було змінено як частина SDL Microsoft .

— WaldenL
джерело

3

Я бачу, що це також спроба посилити їхню безпеку. "Виправляючи" localhost, щоб завжди вказувати на зворотний зв'язок, вони можуть уникнути атак отруєння DNS, які починають проявлятися в дикій природі.

Я згоден, хоча це трохи заважає на деяких рівнях ...

— Евери Пейн
джерело

2

Мені буде цікаво дізнатися, чи можна переосмислити localhost в самому DNS. Використання чітких текстових файлів для управління цими налаштуваннями ніколи не може вважатися найкращою практикою безпеки. Мені здається, що нові заходи безпеки Microsoft виходять за рамки запобігання доступу до коренів і глибше заглиблюються у нюанси вразливості. Я не впевнений, скільки можна залишитися на крок попереду мотивованих чорних шапок, незалежно.

— EnocNRoll - Ананда Гопал
джерело

1

localhost - лише черговий запис у вашій зоні, це лише умовність, яка вказує на 127.0.0.1. Так, так, ви можете вказати localhost на все, що завгодно, і якщо зловмисник може отримати контроль над DNS-сервером, вони можуть змінити цей запис для всієї мережі комп'ютерів W7, а не лише одного з файлом хосту. Суттєвою проблемою для кореневих серверів DNS є те, що люди не містять запис localhost A у своїй зоні, тому запит надсилається до кореня: bit.ly/ybu1a

— Cawflands,

2

Я думаю, це має щось спільне з Microsoft, що впроваджує RFC 3484 для вибору IP-адреси призначення. Ця функція IPv6, перенесена назад на IPv4, впливає на Vista / Server 2008 і вище. Ця зміна порушує круговий DNS, тому навіть якщо це не відповідає на ваше запитання, про нього, безумовно, слід змінити важливу зміну DNS.

Більше інформації в блозі Microsoft Enterprise Networking .

— duffbeer703
джерело

+1 за посиланням мережевого блогу; Я цього раніше не бачив.

— Портман