Специально поломанный DNSSEC
Для дальнейшего тестирования DNSSEC и сопутствующих инструментов я сделал пару сломанных зон. Особенно радикально сломана dotsu.su – там в зоне .su указан зарезервированный код алгоритма для DS-записи, а внутри зоны содержатся “сильно кривые” записи DNSKEY. Так, при попытке обработки dotsu.su – успешно падал онлайн-инструмент VeriSign DNSSEC debugger (http://dnssec-debugger.verisignlabs.com/), сейчас, после того, как я написал в техническую поддержку, всё исправили.
Есть вторая зона broken.nox.su, третьего уровня, там пока просто отсутствуют DS-ы в зоне уровнем выше (nox.su), что является более мягким вариантом. Update: теперь для broken.nox.su добавлена DS-запись, которая не соответствует никакому ключу в зоне (ключей там нет, собственно), так что адреса в broken.nox.su с DNSSEC резолвиться не должны.
Вообще, можно с уверенностью сказать, что основные проблемы с DNSSEC-ом будут даже не в том, что зоны станут подписывать криво, а в том, что внедрение разных сложных вспомогательных инструментов даёт новые направления для атак. И скоро мы увидим множество таких атак, в том числе, и на регистраторов.
Адрес записки: https://dxdt.ru/2012/11/20/5306/
Похожие записки:
- Шифр "Кузнечик" на языке Go: ассемблер и оптимизация
- Постквантовые криптосистемы на экспериментальном сервере TLS
- Encrypted Client Hello и браузеры Google
- Microsoft и DNS-over-HTTPS
- "Яндекс.Браузер" и российские сертификаты TLS в вебе
- ИИ для принятия решений
- Техническое описание TLS: обновление 2022
- Статья о технологии Encrypted Client Hello
- Неверные обобщения "принципа Керкгоффса"
- Персоны и идентификаторы
- Тест SSLLabs и X25519Kyber768