Windows 7: “localhost ad çözümlemesi DNS'nin içinde işlenir”. Neden?

44

Windows'taki 18 yıllık host dosyalarından sonra, bunu Windows 7 build 7100'de gördüğüme şaşırdım:

# localhost name resolution is handled within DNS itself.
#   127.0.0.1 localhost
#   ::1 localhost

Bu değişikliğin neden ortaya çıktığını bilen var mı ? Eminim ki bir çeşit akıl yürütme olmalı.

Ve belki de daha ilgili olarak, Windows 7'de DNS ile ilgili başka önemli değişiklikler var mı? Localhost ad çözümlemesi değiştiği kadar temel bir şeyin değiştiğini düşünmek beni biraz korkutuyor ... Win7'deki DNS yığında başka ince ama önemli değişiklikler olduğunu düşünmeme neden oluyor.

domain-name-system windows-7

— Portman
kaynak

Ödül eklendi. Güvenlik hakkındaki spekülasyon iyidir (ve neredeyse kesin olarak doğrudur), ancak ödülün Win7 DNS değişikliklerini detaylı olarak inceleyen birini cezbedeceğini umuyorum.

— Portman

Herkes bu diğer konu ile ilgili nasıl açıklayabilir stackoverflow.com/questions/1416128/... ve gerçek bir düzeltme nedir? Sanırım şimdilik host dosyamdaki ipv4 localhost girişini çözeceğim.

— Tyndall

29

Windows ekibinde bir geliştirici ile kontrol ettim ve asıl cevap bu yazının diğer cevaplarından çok daha zararsız :)

Gelecekte bir noktada, dünya IPV4'ten IPV6'ya geçiş yaparken, IPV4 ortamlarında ağ yönetimini basitleştirmek isteyen şirketler tarafından devre dışı bırakılacak / kaldırılacaktır.

Windows Vista ile IPv4 kaldırılıp IPv6 etkinleştirildiğinde, bir A (IPv4) adresi için bir DNS sorgusu (ana bilgisayar dosyasından gelen) IPv4 geridönüşümü ile sonuçlandı. Elbette IPv4 kurulmamışsa sorunlara neden oldu. Düzeltme, her zaman mevcut olan IPv4 ve IPv6 geridöngü girişlerini ana bilgisayardan bağımsız olarak devre dışı bırakılabilecekleri DNS çözümleyicisine taşımaktı.

-Sean

— Sean Earp
kaynak

1

Windows ekibine doğrudan bir bağlantınız varsa, lütfen NSEC3'ün desteklendiğinden emin olmalarını sağlayabilir misiniz ? NSEC3 olmadan DNSSEC doğrulama işe yaramaz! .Com’un 2011’de imzalandığında NSEC3’ü kullanacağını biliyorum.

— Alnitak

(doğrulama saplama çözücüsünde, yani).

— Alnitak

9 1/2 yıl sonra ve hala IPv4'ü kullanıyor :)

— Christian

7

Windows 7, DNSSEC doğrulama için (isteğe bağlı) destek sunar . Kontroller, "Yerel Grup İlkesi" eklentisinde ( c:\windows\system32\gpedit.msc) "Ad Çözümleme Politikası" altında bulunabilir.

Maalesef, (AFAIK) önümüzdeki birkaç yıl içinde DNSSEC ile birlikte yaşadıklarında birçok büyük bölge operatörünün (dahil ) kullanacağı RFC 5155 NSEC3 kayıtlarını desteklemiyor .com.

— Alnitak
kaynak

DNSSEC uygulamasıyla ikinci olarak ilişkim: news.softpedia.com/news/… .

— aharden

5

Windows üzerindeki gittikçe daha fazla sayıda uygulamanın kendi kendine geri konuşmak için IP kullandığı göz önüne alındığında, bir dizi Windows hizmeti de dahil olmak üzere, yerel ana bilgisayarı değiştiren birinin başka bir yere ilginç bir saldırı vektörü olarak işaret ettiğini görebiliyorum. Benim tahminim, Microsoft’un SDL’sinin bir parçası olarak değiştirildi .

— WaldenL
kaynak

3

Bunun güvenliğini arttırma girişimi olduğunu da görebiliyorum. Localhost'u her zaman geridöngüye işaret edecek şekilde "sabitleyerek", vahşi doğada ortaya çıkmaya başlayan DNS zehirlenmesi saldırılarını önleyebilirler.

Yine de katılıyorum, bazı seviyelerde biraz rahatsız edici ...

— Avery Payne
kaynak

2

Yine de DNS'deki localhost'u yeniden tanımlayıp tanımlayamayacağımı bilmek isterdim. Bu ayarları yönetmek için açık metin dosyalarının kullanılması hiçbir zaman en iyi güvenlik uygulaması olarak kabul edilemezdi. Bana göre Microsoft'un yeni güvenlik önlemleri, kök erişimini engellemenin ötesine geçiyor ve nüanslı güvenlik açıklarına daha derinden dalıyor. Ne olursa olsun, motivasyonlu siyah şapkalardan bir adım önde ne kadar kalacağından emin değilim.

— EnocNRoll - Ananda Gopal
kaynak

1

localhost bölgenizdeki bir başka rekor, 127.0.0.1'e işaret eden sadece kongredir. Bu yüzden evet, localhost'u istediğiniz herhangi bir yere yönlendirebilirsiniz ve eğer bir saldırgan DNS sunucusunun kontrolünü ele geçirebilirse, bu kaydı sadece bir ana bilgisayar dosyasına sahip olmaktan ziyade bütün W7 bilgisayar ağı için değiştirebilir. İnsanların kendi bölgelerinde bir yerel ana bilgisayar A kaydı içermemesi DNS kök sunucuları için bilinen bir sorundur, bu nedenle istek köke gönderilir: bit.ly/ybu1a

— Cawflands

2

Hedef IP adres seçimi için RFC 3484'ü uygulayan Microsoft ile bir ilgisi olduğunu düşünüyorum. Bu, IPv4'e geri yüklenen bir IPv6 özelliğidir ve Vista / Server 2008 ve üstünü etkiler. Bu değişiklik, robin DNS'sini bozuyor, bu nedenle bu sorunuza cevap vermese bile, kesinlikle bilinmesi gereken önemli bir DNS değişikliği.

Microsoft Kurumsal Ağ blogunda daha fazla bilgi .

— duffbeer703
kaynak

Ağ blog bağlantısı için +1; Bunu daha önce görmemiştim.

— Portman