Книги: "Создание сайтов" - "Доменные войны". Защита информации: техническое описание TLS, тестовый сервер TLS 1.3. Ресурсы: LaTeX
Специально поломанный DNSSEC
Для дальнейшего тестирования DNSSEC и сопутствующих инструментов я сделал пару сломанных зон. Особенно радикально сломана dotsu.su – там в зоне .su указан зарезервированный код алгоритма для DS-записи, а внутри зоны содержатся “сильно кривые” записи DNSKEY. Так, при попытке обработки dotsu.su – успешно падал онлайн-инструмент VeriSign DNSSEC debugger (http://dnssec-debugger.verisignlabs.com/), сейчас, после того, как я написал в техническую поддержку, всё исправили.
Есть вторая зона broken.nox.su, третьего уровня, там пока просто отсутствуют DS-ы в зоне уровнем выше (nox.su), что является более мягким вариантом. Update: теперь для broken.nox.su добавлена DS-запись, которая не соответствует никакому ключу в зоне (ключей там нет, собственно), так что адреса в broken.nox.su с DNSSEC резолвиться не должны.
Вообще, можно с уверенностью сказать, что основные проблемы с DNSSEC-ом будут даже не в том, что зоны станут подписывать криво, а в том, что внедрение разных сложных вспомогательных инструментов даёт новые направления для атак. И скоро мы увидим множество таких атак, в том числе, и на регистраторов.
()
Похожие записки:
- Браузеры и перехват TLS без участия УЦ
- TLS для DevOps
- "Авторизованный трафик" и будущее Интернета
- "Пасхалки" в трафике
- Доверенные программы для обмена сообщениями
- Интернет-протокол "дымовой завесы"
- Смартфон-шпион: восемь лет спустя
- Статья о технологии Encrypted Client Hello
- "Яндекс.Браузер" и российские сертификаты TLS в вебе
- Статья: DNS в качестве инструмента публикации вспомогательной информации
- Обновление описания TLS