What are the ACME Challenges for Domain Validation? Which One Should You Use?

Ignore DNSSEC if you like MITM attacks

Bài viết lập luận ủng hộ việc kích hoạt và xác thực DNSSEC theo mặc định, cảnh báo nguy cơ tấn công MITM (Man-in-the-Middle) khi bỏ qua DNSSEC, như trường hợp xưa chống lại HTTPS. Nếu không xác thực DNSSEC, kẻ tấn công có thể giả mạo phản hồi DNS để chuyển hướng email (qua SRV/MX records) hay Matrix federation tới máy chủ do chúng kiểm soát, trong khi TLS vẫn hoạt động bình thường khiến người dùng không phát hiện. Tác giả chỉ trích các hệ điều hành vì không bật xác thực DNSSEC cục bộ, khuyến nghị dùng resolver xác thực tại chỗ như unbound hoặc unwind thay vì phụ thuộc bên thứ ba.

Là lập trình viên phát triển ứng dụng giao tiếp mạng (email, chat, federation), bạn nên đọc bài này để hiểu cách bảo vệ hệ thống khỏi các cuộc tấn công DNS spoofing nhờ DNSSEC, tránh bị lừa phê chuẩn TLS mà thực chất đã bị middleman tấn công.

New Linux Foundation project aims to bring DNS-style trust to AI agents

Linux Foundation giới thiệu dự án Agent Name Service (ANS), một framework nhằm thiết lập danh tính, quyền sở hữu và sự tin cậy cho các AI agent trong môi trường doanh nghiệp, hoạt động tương tự DNS. ANS giúp doanh nghiệp công bố danh tính agent thông qua các domain đã kiểm soát, cho phép xác minh danh tính, quyền hạn và khả năng của agent mà không cần registry tập trung. Dù giải quyết được vấn đề về nguồn gốc, ủy quyền và kiểm toán trong triển khai multi-agent, ANS vẫn đối mặt rủi ro bảo mật từ DNS như giả mạo hay chiếm quyền, đồng thời cạnh tranh trong thị trường tiêu chuẩn AI agent còn đang trong giai đoạn khám phá.

Lập trình viên phát triển ứng dụng AI nên đọc để hiểu cách giải quyết vấn đề quản lý danh tính và tin cậy cho các bot hoặc hệ thống tự động thông qua ANS, giúp tối ưu hóa tính bảo mật và hợp tác trong các hệ sinh thái đa AI.

Apex domain redirect for Azure Static Web Apps

A walkthrough for setting up an apex domain redirect to the www subdomain in Azure Static Web Apps. Covers DNS configuration using CNAME for www and A record for the apex domain, TXT-based domain validation, and using the default domain setting in Azure Portal to trigger the redirect from apex to www automatically.

Can DNS become the basis for AI agent identity?

The Linux Foundation has announced intent to launch the Agent Name Service (ANS), an open standard that gives AI agents verifiable identities by anchoring them to DNS. Originating from an OWASP GenAI Security Project research paper, ANS works similarly to how websites prove identity today — operators demonstrate domain control via ACME/Let's Encrypt, receive certificates, and all status changes are logged in an append-only ledger. A companion standard, DNS-AID (originally from Infoblox), handles agent discovery via DNS records. At least four competing DNS-based agent identity proposals now exist, and the space is crowded with alternatives including Google's A2A protocol, Cisco's AGNTCY, Microsoft's Entra Agent ID, and Okta for AI Agents. Notably absent from ANS are major players like Google, Anthropic, Microsoft, and Amazon, raising questions about fragmentation.

Trailing dots are the worst

curl 8.21.0 đã sửa ba lỗi do dấu chấm cuối trong hostname gây ra: không nhận dạng đúng địa chỉ IPv4 (192.168.0.1.), vô hiệu hóa logic HSTS với dấu chấm kép, và bypass Public Suffix List khi đặt cookie. Tác giả cho rằng dấu chấm cuối luôn tồn tại và sẽ tiếp tục gây lỗi cạnh trường.

Lập trình viên nên đọc bài này vì các lỗi về dấu chấm cuối (trailing dots) trong tên miền, IP hoặc cookie có thể gây ra các vấn đề bảo mật nghiêm trọng như chứng minh CVE-8924, ảnh hưởng đến TLS và xử lý cookie không an toàn.

AI Agents Could Get Verified Identities, Courtesy of DNS

The Linux Foundation has announced intent to launch the Agent Name Service (ANS), an open standard that extends DNS to give AI agents verifiable identities. Each registered agent gets a DNS-style versioned name backed by an identity certificate issued after standard DNS and ACME checks. All registrations, renewals, and revocations are recorded in a tamper-evident append-only Merkle log, and an offline tool called ans-verify can audit records without a live registry connection. GoDaddy originally built ANS on an existing IETF draft, reusing its existing certificate infrastructure handling over 100 million active TLS certificates. The reference implementation is MIT-licensed Go code hosted on GitHub and reportedly spins up in about 60 seconds.