Продолжение про DNSSEC: атаки на основе времени
Кстати, внедрение DNSSEC приведёт к появлению новых типов атак на DNS, среди которых есть довольно интересные и неожиданные (впрочем, два упомянутых ниже типа специалистам давно известны и описаны в соответствующих RFC, но тем не менее).
Скажем, для проверки достоверности данных в DNSSEC используются криптографические ключи, которые крепко привязаны ко времени: у каждого ключа строго определён срок действия. Так что если часы компьютера, проверяющего адресную информацию по DNSSEC, не привязаны к “всеинтернетовскому” глобальному времени DNS, то у этого компьютера большие проблемы с корректностью обработки адресов. Соответствующая атака, видимо, должна использовать какие-то манипуляции с системным временем. Для DNS, работающей без DNSSEC, глобальное время не так важно.
Другой вариант: DNSSEC использует вычислительно затратные криптографические операции. Это означает, что новая DOS-атака (на отказ) может основываться на подсовывании поддерживающим DNSSEC системам “дефектных” подписей и ключей. При этом атакуемый компьютер тратит немалые вычислительные мощности на бесполезную обработку данных от злоумышленников. Затраты процессорного времени тут просто не сравнимы с затратами на обработку запросов по протоколам “классической” DNS: DNSSEC потребует гораздо больше ресурсов.
Адрес записки: https://dxdt.ru/2008/09/24/1727/
Похожие записки:
- Десятилетие DNSSEC в российских доменах
- Статья о Certificate Transparency
- Реплика: программные "демультиплексоры" протоколов уровня приложений
- "Двухфакторная" аутентификация и Google Authenticator
- Открытые "исходники" и "бинарный" код с точки зрения ИБ
- HTTPS-запись в DNS для dxdt.ru
- Как правильно "показать TLS-сертификат", рекомендации
- Ретроспектива заметок: ключ по фотографии
- Обновление темы dxdt.ru
- Работа GPS и коррекция по данным многих устройств
- Симметричные ключи, аутентификация и стойкость в TLS