Специально поломанный DNSSEC
Для дальнейшего тестирования DNSSEC и сопутствующих инструментов я сделал пару сломанных зон. Особенно радикально сломана dotsu.su – там в зоне .su указан зарезервированный код алгоритма для DS-записи, а внутри зоны содержатся “сильно кривые” записи DNSKEY. Так, при попытке обработки dotsu.su – успешно падал онлайн-инструмент VeriSign DNSSEC debugger (http://dnssec-debugger.verisignlabs.com/), сейчас, после того, как я написал в техническую поддержку, всё исправили.
Есть вторая зона broken.nox.su, третьего уровня, там пока просто отсутствуют DS-ы в зоне уровнем выше (nox.su), что является более мягким вариантом. Update: теперь для broken.nox.su добавлена DS-запись, которая не соответствует никакому ключу в зоне (ключей там нет, собственно), так что адреса в broken.nox.su с DNSSEC резолвиться не должны.
Вообще, можно с уверенностью сказать, что основные проблемы с DNSSEC-ом будут даже не в том, что зоны станут подписывать криво, а в том, что внедрение разных сложных вспомогательных инструментов даёт новые направления для атак. И скоро мы увидим множество таких атак, в том числе, и на регистраторов.
Адрес записки: https://dxdt.ru/2012/11/20/5306/
Похожие записки:
- DNS как транспорт для сигналов и данных
- Реплика: программные "демультиплексоры" протоколов уровня приложений
- Пресертификаты в Certificate Transparency
- Про цепочки, RSA и ECDSA
- Сорок лет Интернету
- "Внешний ИИ" масштаба Apple
- Сервис для просмотра логов Certificate Transparency
- Обновление темы dxdt.ru
- Симметричные ключи, аутентификация и стойкость в TLS
- Работа GPS и коррекция по данным многих устройств
- Mozilla Firefox и внедрение рекламных сообщений