Продолжение про DNSSEC: атаки на основе времени
Кстати, внедрение DNSSEC приведёт к появлению новых типов атак на DNS, среди которых есть довольно интересные и неожиданные (впрочем, два упомянутых ниже типа специалистам давно известны и описаны в соответствующих RFC, но тем не менее).
Скажем, для проверки достоверности данных в DNSSEC используются криптографические ключи, которые крепко привязаны ко времени: у каждого ключа строго определён срок действия. Так что если часы компьютера, проверяющего адресную информацию по DNSSEC, не привязаны к “всеинтернетовскому” глобальному времени DNS, то у этого компьютера большие проблемы с корректностью обработки адресов. Соответствующая атака, видимо, должна использовать какие-то манипуляции с системным временем. Для DNS, работающей без DNSSEC, глобальное время не так важно.
Другой вариант: DNSSEC использует вычислительно затратные криптографические операции. Это означает, что новая DOS-атака (на отказ) может основываться на подсовывании поддерживающим DNSSEC системам “дефектных” подписей и ключей. При этом атакуемый компьютер тратит немалые вычислительные мощности на бесполезную обработку данных от злоумышленников. Затраты процессорного времени тут просто не сравнимы с затратами на обработку запросов по протоколам “классической” DNS: DNSSEC потребует гораздо больше ресурсов.
Адрес записки: https://dxdt.ru/2008/09/24/1727/
Похожие записки:
- "Инспекция" трафика с сохранением конфиденциальности
- TLS-сертификаты dxdt.ru
- Рандомизация регистра символов в DNS
- Бывшая "Яндекс.Почта"
- Метаинформация, мессенджеры и цепочки событий в трафике
- Обновление описания TLS
- Постквантовые криптосистемы и квантовые компьютеры
- Обновление описания TLS
- Приложение про DNS к описанию TLS
- "Блокирующие" источники случайности в операционных системах
- Техническое: poison-расширение и SCT-метки в Certificate Transparency