Verisign schrikt van kritiek op SiteFinder

TheAge bericht dat VeriSign min of meer geschrokken is van de reactie op haar nieuwe SiteFinder. Recentelijk voerde de instelling, beheerder van alle .net en .com domeinen, een wijziging door die ertoe leidde dat alle niet-bestaande domeinnamen werden doorverwezen naar een zoeksite van VeriSign zelf. Deze wijziging ondermijnde een belangrijke verificatiemethode van anti-spam tools, omdat deze vaak controleren of het domein van de afzender geldig is. VeriSigns nieuwe systeem betekent echter dat ieder domein een geldig webpagina als resultaat heeft, hetgeen deze controlemethode nutteloos maakt. Een woordvoerder van het bedrijf zegt nu een aantal aanpassingen door te willen voeren om aan de vele klachten tegemoet te komen, maar specificeerde dit niet nader. Voor VeriSign zou de affaire mogelijk nog een staartje kunnen hebben, aangezien er stemmen opgaan om het beheer van .net en .com domeinen voortaan niet meer aan een ander over te laten:

Veteran sysadmin Rick Moen said authors of all the major DNS server programs were building into their next releases code to detect and un-do Verisign's tinkering. Moen, who resides in California, said it would be better if VeriSign were stripped of its custody of the .com and .net domains. "Unlikely as that outcome seems, it is exactly what many of the world's major network operators have started calling for, based on this affair," he said.

Reacties (38)

Dit soort beheerwerkzaamheden horen ook thuis bij non-profit organisaties naar mijn mening. De functies van registrar en TLD beheerder horen gescheiden te zijn.

Dat is inderdaad de beste oplossing. Het probleem met non-profit organisaties is dat ze non-profit _moeten_ zijn. Het ICANN heeft bijvoorbeeld te maken met een nogal dringend geldtekort. (OK, ze zijn ook slordig geweest met uitgeven, maar het geeft wel aan dat je die non-profit organisatie een goede fondsenbasis moet geven.)

In Nederland is het voor non-profit organisaties helemaal niet verboden winsten te maken. Hierom worden ze normaliter ook not-for-profit organisaties genoemd. Het is hen, vanuit belastingoogpunt, echter wel verboden een winsoogmerk te hebben. Dat ze winst maken is helemaal niet erg, dat ze het oppotten ook niet, zolang het op termijn maar terugvloeit naar het doel van de organisatie.
Als deze regels in andere landen ook gelden, dan heeft het ICANN geldtekort uit mismanagement en niet uit de "pech van het non-profit" zijn.

Inhoudelijk een beetje vreemde reactie van Verisign. Ze geven hiermee een beeld af alsof ze vooraf totaal niet gekeken hebben naar de gevolgen van de invoering voor andere systemen die gebruik maken van dns en zich alleen gericht hebben op de reactie van de gebruikers die in hun browser wat verkeerd zitten in te tikken. Ik kan het me haast niet voorstellen dat ze daar idd alleen maar op gelet hebben bij de beslissing. Anders geeft het wel een zeer slecht beeld van het technisch inzicht van de beslissers bij zo'n belangrijke organisatie.
Maar het lijkt er meer op dat Verisign gewoon kosten wat het kost meer reclame voor zichzelf wilde hebben en het met zoveel macht over de .com en .net domeinen niet kon laten om er misbruik van te maken. (al zien ze dat zelf uiteraard nooit zo zwaar)

Nee hoor, ze hebben er best een beetje over nagedacht .. het grootste probleem door dit verschijnsel zit hem inderdaad in spam en het bouncen daarvan .. <sarcasme>"""gelukkig"""</sarcasme> hebben ze bij Verisign op dat ip-adres op port 25 ook nog een mailrejector draaien die alle mail die door ons gebounced wordt niet-zo-netjes reject .. dan loopt je mailqueue tenminste nog een beetje leeg van alle spam die nu geaccepteerd wordt omdat ALLE .com en .net domeinen bestaan ..

Althans, zolang mijn DNS-en nog niet gepatched zijn met 9.2.3rc3 welke (hoop ik) morgen uit komt.

Om er nog maar eens op te wijzen, teken de petitie:

http://www.petitiononline.com/icanndns/

Mocht je gisteren of eerder getekend hebben, dan moet je het mogelijk nog een keer doen omdat ze om de een of andere reden de lijst leeggegooid hebben.....

Dan heeft cistron dit aardig gedaan, ze hebben iets in hun dns aangepast waardoor nietbestaand accounts niet uitkomen bij die sitefinder

ze hebben hun nameserver geupgrade.

ik ben hetzelfde van plan, maar dan zodra 9.2.3 uit de releasecandidate cycle is, verschillende FreeBSD developers liepen tegen problemen aan, dat wil ik niet op mijn nameservers.

En terecht dat ze schrikken!

Door hun actie lopen mailservers nu extra onnodige vertraging op!

Er is gewoon niet goed nagedacht door VeriSign...

Er is heel goed nagedacht door Verisign: dagelijks worden er waarschijnlijk miljoenen niet-bestaande domeinnamen ingetikt. Zij beheren de .com en .net rootservers en kunnen dus gebruik maken van die fouten om bijv. alternatieve domeinnamen aan te bieden, die op hun beurt door middel van sponsoring daar terecht zijn gekomen. Dus nagedacht is er zeker wel, alleen helaas uitsluitend vanuit omzetverhogingsperspectief. Maar dat kunnen we ze niet echt kwalijk nemen: het is een beursgenoteerd bedrijf en daardoor zijn ze aan hun aandeelhouders verplicht om alles in het werk te stellen om zoveel mogelijk winst te realiseren.

Tuurlijk wil een commercieel beurs-genoteerd winst maken. Maar dat vind ik nogal een onzinnig argument om technische fouten op af te schuiven. Het is toch niet meer als logisch dat als je elk niet bestaand .com en .net domein beschikbaar maakt je er over nadenkt wat vooor gevolgen dat eventueel zou kunnen hebben.

Je kunt ook stellen dat die anti-spamtoolmakers hun software (deels) baseerden op een technisch geintje waar ze eigenlijk niet op zouden mogen bouwen aangezien zij de rootservers niet beheren. Beetje makkelijk om meteen Verisign de schuld in de schoenen te schuiven.

Het is ook gewoon tegen de RFC !

Als je daar niet op kunt bouwen

Je kunt ook stellen dat die anti-spamtoolmakers hun software (deels) baseerden op een technisch geintje waar ze eigenlijk niet op zouden mogen bouwen aangezien zij de rootservers niet beheren.

onzin. de oudste check in het boekje voor een MTA is: 'bestaat dit domein'.

nee: spam
ja: ok.

het belast de root nameservers nauwelijks. (met name omdat ze allemaal achter caching nameservers van providers zitten).

Wat je nu zegt is onzin, wat VeriSign doet is tegen alle standaarden in. Indien een domein niet bestaat geeft dat als resultaat van de DNS servers, domein bestaat niet. Dit gebeurt ook met subdomeinen, *.domein.com --> 1 IP, dit vind ik nog niet zo erg, maak er zelf ook gebruik van. Maar om ook de top domein namen zo te linken. Vindt het jammer dat het Internet (de basis dan) steeds meer in handen komt van commerciele bedrijven. Ik zit al lange tijd op internet, in begin van de groei (rond 1996) zag internet er heel anders uit dan nu...

"alleen helaas uitsluitend vanuit omzetverhogingsperspectief" OK ER IS DUS NIET NAGEDACHT. Zo simpel is het gewoon. Dit hadden ze zelf ook wel kunnen bedenken he dat die anti spamtools hierop stuk gaan. Verder kunnen ze het ook transparant registreren welke 'foute' url er geprobeerd wordt te bereiken

Het gaat niet om het opsporen van fout ingetikte url's, maar om het promoten van ( de zoveelste ) lamme search engine.

M$ doet dat weliswaar ook, maar dan op browserniveau, dat kun je uitzetten .. dit niet (zonder patches (of het blackhole-en van het Verisign AS ))

Zouden ze ook nagedacht hebben over al het extra verkeer dat deze website gaat genereren. Nu staat er nog niet veel op, maar als d'r straks een hoop sponsored links en banners op komen (dan zullen ze caching ook wel niet toe laten) zullen de minder goeie typers onder ons behoorlijk wat onnodige extra bandbreedte gaan verbruiken.

Lijkt mij niet dat de ISP's hier blij mee zullen zijn.

edit:
typo

Ik denk niet dat ze zo dom zullen zijn om er sponsored links en/of banners op te plaatsen. Als je ziet hoeveel kritiek ze nu al krijgen over Sitefinder ... doe daar nog reclame bij en ze hebben zeker afgedaan.

Ik ben er trouwens ook voor, dat zulke zaken door een non-profit beheerdt worden.

Ook nu levert het onnodig veel verkeer op. Ik snap echt niet hoe ze zo stom konden zijn! Ik hoop echt dat ze het snel ongedaan maken!

Der zijn trouwens ook andere gevolgen die aan dit soort acties vasthangen - momenteel zitten wij in een overgang van een NT4 omgeving op WINS naar een W2K DNS omgeving. Een heel aantal servers zijn echter niet in DNS aanwezig (en wel in WINS), maar aangezien DNS voor alle clients wel als primary name resolution opgegeven staat zitten we met een probleem --> al onze clients effe omzetten kost veel tijd (zijn er 20.000) en we zitten trouwens al in een gigantisch conversieprocess waar we dit soort acties echt wel kunnen missen... Nu kunnen veel clients een heel stel servers niet vinden... stel u eens voor wat dat kost aan een multinational - allemaal verloren manuren... Gaat Verisign die terugbetalen? I think not... En ik denk niet dat wij de enigen zijn met dergelijke problemen...

edit:

Hmm... Okay, nu heb ik in principe niets tegen kritiek, zo lang ze maar niet beginnen bashen op me. Effe nuanceren: die 20.000 clients gebruiken GEEN private address range en hebben bijgevolg WEL alles te maken met de doorroutering bij Verisign - adressen die eerst niet geresolved werden door DNS, werden wel door WINS geresolved (da's hier normale gang van zaken, eerst effe kijken bij DNS of ik een entry kan vinden, dan bij WINS etc). Aangezien ze NU een verkeerd adres terugkregen van de DNS, konden ze de servers niet meer vinden die ze wel moesten bereiken.
Misschien ooit bij stilgestaan dan "effe de servers opnemen in DNS" niet zo simpel is als ge met een bedrijf zit dat in 60 landen actief is, enkele 1000'en servers hebt en vele clients nog in een pre W2K omgeving zitten waarbij hun domain extensie niet echt klopt... Okay, niet de ideale opzet geweest, ooit, maar zo zijn er meerdere bedrijven, die pas recent DNS opgezet hebben en voorheen WINS gebruikten om names te resolven.
Ik heb trouwens ook aangegeven dat we in een TRANSITIE fase zitten, waarbij we een gemengd netwerk hebben en de meeste clients maken dus nog geen gebruik van W2K DHCP servers, bijgevolg zijn die entries ook nog niet op te voeren in de DNS.
Voordat ge achterlijke dingen gaat vertellen zonder de situatie echt helemaal te kennen en mensen gaat beledigen - want dat hebt ge echt wel gedaan - probeer u even een situatie voor te stellen waar hetgeen ik eerst schreef mogelijk is... Als ik altijd alles volledig moet uitschrijven, dan hebt ge altijd van dit soort posts en da's een beetje teveel van het goeie.

edit:

Oh ja, sorry, ik klink misschien ook een beetje ongeordend (goed excuus hé, om te verbergen dat ik er de ballen van ken), maar ik kraam blablablablabla --> zwak excuus Mr atomik... mijn verhaal was misschien niet duidelijk, maar het uwe was, aangezien ge de situatie al helemaal niet kent, nog veel meer uit de lucht gegrepen - en wat nog grappiger is, iedereen hier trapt erin ook
[/edit2]

[edit 3]
Misschien wel een idee om alles uit te schrijven in de toekomst - voorkomt dit soort dingen
Ik heb spijtig genoeg heel weinig te zeggen over het global design hier - ge moet ermee leven zoals ze het u geven... Een duidelijke reden waarom het vroeger (oude omgeving) zo was kan niemand me geven... Maar, in de nieuwe omgeving implementeren ze wel een private range, dus er is hoop voor de toekomst

Wow, deze post word nog als interessant gemod ook! Misschien is het al te laat voor mij, maar wat heeft dit in vredesnaam met het nieuwsitem te maken???

Ik mag toch aannemen dat die 20.000 clients gebruik maken van een private address range en dus niets te maken hebben met die doorrouteringen van Verisign.

Als DNS de primary resolution voor je clients is, hoef je toch alleen maar te zorgen dat je servers in je DNS opgenomen worden? Trouwens, als de clients opgenomen moeten worden in DNS, kan je Win2k DHCP server daarvoor zorgen. Die kan namelijk als een soort proxy dynamisch de DNS-entries van de clients aan DNS doorgeven.

Ik breng het misschien allemaal een beetje krom, maar hoe ongeordend ik ook overkom, ik kraam niet half zo veel bullshit uit als TheLevel

(Kom maar met die -1 flamebait)

edit:

Oké, sorry, dit was misschien wel erg kort door de bocht, maar uit de informatie uit je originele post was het verband met het nieuwsitem over verisign niet echt te halen. Ik heb vervolgens een paar aannames gedaan die ik beter niet had kunnen doen. Mijn fout.
Volgens mij kun je beter de informatie wel helemaal uitschrijven om verwarring te voorkomen.

beetje off-topic, maar is er een speciale reden waarom er geen private address ranges gerbuikt worden? Het kost misschien wat moeite om alles om te nummeren, maar dat kan gefaseerd en die kosten haal je er echt wel weer uit als je je class B range (of meerdere C ranges, dat kan ik uit je verhaal niet opmaken) kan vervangen door bv. een enkele class C range.

Ongelofelijk, waar gaat dit toch allemaal over. Zorg ervoor dat de SPAM tools een patch krijgen dat op het moment dat DNS resolved naar pathfinder (IP basis), dan die actie niet legit is... Klaar.... Slotje...

Zoals je had kunnen lezen gaat dit over Verisign, die de RFC aan haar laars lapt ten gunste van de eigen portemonnee.

Of je dit kan oplossen door 100 verschillende patches voor evenveel producten is eigenlijk helemaal niet relevant. Waar het echt om draait is dat dit niet binnen de specificatie en niet binnen het mandaat valt.

En de bind patch lijkt te werken, no more verisign for me

Verisign schrikt van kritiek op SiteFinder

En terecht de hele community van ICT-ers lijkt erop te duiken. De laatste tijd heb ik al als citaat

"Het internet is opgebouwd door hackers, mensen met een wereldverbeterende instelling; deze wordt nu in rap tempo omlaag gehaald door de commercialisering van het Internet".

Het lijkt hier toch ook op van toepassing. Het gaat zo nog eens de verkeerde kant op.

Met hackers bedoel ik dan natuurlijk de mensen die http, e-mail, irc, tcp-ip etc hebben gebouwd. (hackers build things, crackers break things)