VeriSign negeert verzoek van ICANN over SiteFinder

VeriSign heeft geweigerd in te gaan op een verzoek van ICANN om de SiteFinder-dienst, waarbij ieder niet-bestaand .net- en .com-domein wordt doorverwezen naar een reclame-pagina van VeriSign, tijdelijk stop te zetten totdat het domeinadviesorgaan zich gebogen heeft over het grote aantal klachten over de praktijken van het bedrijf. Dat blijkt uit een reactie van VeriSign op het verzoek. Volgens het bedrijf maken verschillende registry's wereldwijd gebruik van een dergelijke dienst. VeriSign wil eerst onderzoek doen naar de resultaten van SiteFinder alvorens uitspraken te doen over het bestaansrecht van het wildcard-systeem.

De invoering van de dienst vorige week had een storm van kritiek tot gevolg vanuit een groot aantal internetinstanties. Zaterdag verklaarde de Internet Architecture Board dat wildcards niet zouden moeten worden gebruikt in een DNS-zone, tenzij eigenaars van gedelegeerde delen van de zone (in dit geval de domeineigenaars) daarmee instemmen. Eerder meldde ISC, de maker van DNS-server Bind, een omzeiling voor SiteFinder in zijn DNS-software willen gaan inbouwen, mede omdat providers klaagden dat veel spamfilters niet meer werkten. Bovendien is de kritiek op het functioneren van VeriSign als registry voor de .com- en .net-domeinen aangewakkerd.

In een reactie schrijft de adviescommissie voor veiligheid en stabiliteit van ICANN dat de introductie van SiteFinder schade heeft toegebracht aan de scheiding van verschillende protocol-lagen op internet, en ervoor gezorgd heeft dat het DNS-systeem onjuiste informatie verstrekt. De commissie roept niet alleen VeriSign op het wildcard-systeem uit te schakelen, maar doet ook een oproep aan ICANN, Internet Architecture Board en Internet Engineering Task Force. Volgens het adviesorgaan moeten er in ieder geval universele procedures en regels komen voor het gebruik van wildcards in DNS:

We call on ICANN to examine the procedures for changes in service, including provisions to protect users from abrupt changes in service. (...) Most urgently, we ask for definitive recommendations regarding the use and operation of wildcard DNS names in TLDs and the root domain, so that actions and expectations can become universal. With respect to the broader architectural issues, we call on the technical community to clarify the role of error responses and on the separation of architectural layers.

Reacties (32)

Ik vind niet dat een commerciëel bedrijf zomaar één van de meest fundamentele onderdelen van het internet mag beheren en hier zomaar wijzigingen aan te brengen ten behoeve van eigenbelang.

Ik vind dat het internet iets van ons allemaal is, van de internationale gemeenschap, en daarom behoren ditsoort taken door internationale non-profit organisaties beheert te worden. Het liefst zou ik zien dat een onderdeel van de verenigde naties voor het beheer van internet zou gaan zorgen, opdat duidelijk mag zijn dat het internet niet 'eigendom' is van iemand of een commerciëel bedrijf, maar dat het eigendom is van ieder mens op aarde.

Vooral de arrogante houding van Verisign steekt mij, en ik hoop dan ook met volle overtuiging dat de ICANN Verisign ontheft van zijn behoegdheden als beheerder van .com en .net registery namen.

jop. wat mij betreft wordt verisign uit haar taak gezet.. ze geven er blijk van duidelijk schijt te hebben aan het icann.. nu zijn ze bij de icann ook niet echt lekkertjes door de uitgifte van nieuwe tld's tegen te houden, maar juist daarom heeft verisign zo'n belangrijke positie en hebben ze zich maar aan de regels te houden.

netwerktechnisch gezien is dit echt een van de vervelendse dingen die je kan overkomen, als elke invalide dns naam zomaar geresolved wordt.

Probleem is wel dat een andere belangrijke organisatie,de Internet Architecture Board, officieel bekend heeft gemaakt dat ze in principe niet tegen het gedrag van Verisign is. Wel zou het in het vervolg eerst moeten aantonen dat er geen negatieve gevolgen zijn, maar ze hangen Verisign dus niet aan dit eigenwijze gedrag op. Het kan dus gewoon zn gang blijven gaan, helaas.

Je hebt helemaal gelijk. Daarom is in de ICANN overeenkomst ook een zeer strikte scheiding tussen Verisign's DNS beheertaken en hun andere activiteiten opgenomen. Die scheiding is nu met voeten getreden.

Zelfs als deze 'feature' blijft bestaan, dan nog kan je je afvragen waarom de pointers 'gratis' naar Verisign's SiteFinder wijzen. Voor het zelfde geld zou Google, AltaVista, of wie dan ook deze verwijzing willen kopen. Gratis weggeven aan 'het broertje' is dus oneerlijke concurrentie.

Hoe zit het dan met Microsoft dat na het vinden van een pagina je ineens terecht komt bij een MSN search page

Ook dat was er ineens......

je hebt een punt....maar...

wat Microsoft doet conflicteerd niet met DNS, en dus ook niet met spamfilters, want 't zit ingebrouwen in de browser. Daarnaast is het een 'optie' (in IE6 althans) die je kunt uitschakelen naar believen, dat kun je met sitefinder niet.

daarnaast blijft natuurlijk het feit dat sitefinder de hele boel 'onbetrouwbaar' maakt omdat ieder domein denkbaar nu bestaat. Wij hebben onze spamfilters er inmiddels omheen gehacked, maar het zou niet moeten mogen. En helaas veroorzaakt die Bind 9.2.3 release die het tegen zou moeten gaan een hoop nasty bijwerkingen die ik op mijn nameservers (lees: nameservers van een ISP) niet wil zien.

Als je de nieuwe Google Toolbar installeerd kan je ipv MSN nu Google als zoekpagina instellen

toolbar.google.com

named.conf:

zone "sitefinder.verisign.com" {
type master; file "db.sitefinder.verisign.com"; };


db.sitefinder.verisign.com:

@ IN A 127.0.0.1


Doet wonderen!

als aanvulling: wat dacht je van "/sbin/route add -host 64.94.110.11 reject"

Resolven de domein namen dan niet meer, of resolved de seitvinder dan naar je localdoos, dan resolved ie toch en vind de mail server dat het mailtje van een bestaand domain afkomstig is, is wat mij betreft geen work around.
Beter zou het zijn als de mail servers zouden checken of er daadwerkelijk een mail exchanger gedefineerd is voor een domein, en alleen dan de mail doorlaten.

Dan kun je beter bind opnieuw installeren met de patch die ISC vrijgegeven heeft. http://www.isc.org/products/BIND/delegation-only.html

daar zitten nog vrij nasty bugs in... de reden waarom ik mijn nameservers nog niet heb willen upgraden... (dat zijn trouwens de nameservers van een ISP... niet een thuis nameservertje ; ))

Voor degenen die het nog niet wisten:

Online petitie om Verisign te laten stoppen
http://www.whois.sc/verisign-dns/

ICANN vraagt om meningen
http://alac.icann.org/redirect/

Ik snap die heisa niet zo... Als je gewoon het spam bericht doorstuurd naar verisign als het domein naar het bewuste ip adres resolved dan leren ze het snel; genoeg af.... Deze actie moet ze toch een 100Gb per dag aan zinloze mail opleveren..... Zijn ze vast blij mee...

Nee het gaat erom dat spam van niet bestaande domeinen AFkomt. En dat is nu dus niet meer te controleren (in het geval van .com en .net)

De controle die nu in de spam-software zit, kijkt vast of een DNS-query een 'goed' resultaat geeft. Die routine moet een klein beetje gemodificeerd worden door net iets verder te kijken en pas te vlaggen dat het domein OK is als het èn een DNS-query overleeft, èn het resultaat niet wijst naar de sitefinder van Verisign.
Lijkt me geen verschrikkelijk grote klus om die Spam-software te updaten, temeer daar die software toch al (net als antivirussoftware) zeer regelmatige updates krijgt.

Of een tikje botter zijn, en alle mails die afkomstig zijn van een domein dat bij VeriSign zit automatisch een 100% score van spam geven, zodat elk spamfilter alle mails van VeriSign, en alle domeinen die door hun geregistreerd zijn geweigerd worden.

Dan gaan hun klanten weglopen, om te zorgen dat hun mails weer aankomen... Verisign verliest klanten, en voelt dat in hun portemonnee...

Dit zou ik niezo'n strakke axi vinden, ik heb net voor 9 jaar bijgetekend voor een domein.

Dit zou ik niezo'n strakke axi vinden, ik heb net voor 9 jaar bijgetekend voor een domein.

kun je gewoon verhuizen naar een andere registrar zoals Gandi.net in Frankrijk (om maar een voorbeeldje te noemen).

dan behoud je de 9 jaar die je al hebt betaald, plus dat je, om je registratie te activeren bij gandi, nog een jaar betaald. (15 euro ofzo).

je bent dan dus voor 10 jaar uit de herrie en gelijk van Verislime af.

overigens ben ik tegen zo'n actie, je treft er absurd veel onschuldigen mee, plus dat je 't 'net weer een tikje erger overbelast, dat is uit den boze.

hij bedoelt een massale aktie tegen VeriSign.
iedereen die er op tegen is stuurd een paar weken elke dag spam mail naar verisign met een bericht eronderin:

If you want to unsubscribe to this mailing service stop your SiteFinder.

dat zal inderdaad wel een succes kunnen zijn

edit: typo

Dat heeft geen zin aangezien VeriSign geen MX records heeft gedefiniëeerd voor deze onbestaande domains (als dat al zou kunnen)

Hmmm...ik heb nergens last van. Ik kan willekeurige .com en .net namen invullen en krijg dan gewoon 'not found'. Volgens mij heeft Cistron dan iets gedaan waardoor het voor hun netwerk niet opgaat. Als dat zo is snap ik de ophef niet, want dan is het dus blijkbaar makkelijk te omzeilen.

Bind (==nameserver) heeft een patch uitgebracht die verisign keurig buiten spel zet. Cistron volgt die patch gewoon, evenals Demon, en ongetwijfeld nog vele anderen.
XS4All is overigens zeer duidelijk niet van plan Verisign tegen te werken - alles resolved nog steeds keurig naar sitefinder.

XS4ALL Belgie heeft de patch al wel.

XS4ALL ADSL Basic Abo, Utrecht

Bij mij resolven niet bestaande pagina's toch echt niet...

Cistron heeft het inderdaad aangepast, dus jij hebt geluk. Als je wil zien hoe het eruit ziet:
http://sitefinder.verisign.com/lpc?url=www.tweakerss.net

Cistron heeft het inderdaad aangepast, dus jij hebt geluk.

Ok, dus wat is nu het probleem? Als iedereen zijn named.conf aanpast en ook de spamfilters naar MX records kijken heeft VeriSign toch helemaal niets aan die mod? Uiteraard gaat het ook om het principe, maar als ze ineens zien dat er maar 100 verloren zielen per dag op hun sitefinder ellende komen krijgen ze wellicht door dat het geen zin heeft. En aangezien het een commercieel bedrijf is, zullen ze zodra iets geen $$$ meer oplevert er al vlug mee kappen. Denk ik...

Krijg hier ook de normale IE error.
Geen MSN page en geen sitefinder.
Thuis op een chello lijn hetzelfde.

Er van uit gaande dat je alleen de dns servers van jouw provider gebruikt, wat me in het geval van chello niet zo'n goed idee lijkt.

idd, hier met mn HCCnet ADSL lijntje ook geen VeriSign pagina als ik een willekeurig adres intyp. Misschien heeft HCCnet al zijn DNS servers gepatched

Het idee is best aardig

Maar betwijfel of het ICANN het goed gaat vinden... Beetje oneerlijke concurentie tegenover de andere domain registers...

Het wordt tijd dat ICANN een Verenigde Naties IGO wordt (oh, god...laat de grappen maar komen...).