Реплика: подмена адресов в DNS при “поддержке” DNSSEC
Кстати, если у вас есть секретный ключ от подписей DNSSEC, для, скажем, зоны первого уровня, то быстро подменять адреса и перехватывать трафик в доменах второго уровня этой зоны, не нарушая безопасности ключей, можно так: генерируется “теневая” зона, сразу содержащая нужные “перехватывающие” записи. Эта зона подписывается по той же схеме, что и публичный экземпляр. Узлы, осуществляющие перехват и подмену DNS, имеют доступ к “теневой” зоне, откуда в нужный момент извлекают подписанные записи. Естественно, такая схема работает только при наличии соответствующей авторизации.
По сравнению с инфраструктурой SSL – есть важное отличие: нельзя осуществлять подмену адресов в других доменах первого уровня, от которых у вас нет ключей, а только в своём. SSL-сертификат удостоверяющий центр может выпустить для любого домена.
Адрес записки: https://dxdt.ru/2013/01/30/5546/
Похожие записки:
- Нормализация символов Unicode и доменные имена
- Симметричные ключи, аутентификация и стойкость в TLS
- Удаление "неактивных" google-аккаунтов
- Реплика: эффекты наложенных сетей уровня браузера в вебе
- Симметрии и дискретное логарифмирование
- Открытые "исходники" и "бинарный" код с точки зрения ИБ
- Интерпретация DMARC в разрезе DKIM
- Десятилетие DNSSEC в российских доменах
- Ссылка: bluetooth-атака на iOS
- Обновление описания TLS
- Уровни сигнатур клиентских подключений
1 комментарий от читателей
1. 1st February 2013, 13:54 // Читатель jno написал:
угу, т.е. домены .ru, .рф и .su можно считать изначально скомпрометированными и на свои заморочки с DNSSEC не тратиться :)