Реплика: подмена адресов в DNS при “поддержке” DNSSEC
Кстати, если у вас есть секретный ключ от подписей DNSSEC, для, скажем, зоны первого уровня, то быстро подменять адреса и перехватывать трафик в доменах второго уровня этой зоны, не нарушая безопасности ключей, можно так: генерируется “теневая” зона, сразу содержащая нужные “перехватывающие” записи. Эта зона подписывается по той же схеме, что и публичный экземпляр. Узлы, осуществляющие перехват и подмену DNS, имеют доступ к “теневой” зоне, откуда в нужный момент извлекают подписанные записи. Естественно, такая схема работает только при наличии соответствующей авторизации.
По сравнению с инфраструктурой SSL – есть важное отличие: нельзя осуществлять подмену адресов в других доменах первого уровня, от которых у вас нет ключей, а только в своём. SSL-сертификат удостоверяющий центр может выпустить для любого домена.
Адрес записки: https://dxdt.ru/2013/01/30/5546/
Похожие записки:
- ML-KEM на тестовом сервере TLS
- Реплика: преодоление air gap
- Chrome и УЦ Entrust
- Отмена "фактчекеров" и сервисы Facebook
- Реплика: возможный доступ приложений "Яндекса" к OBD автомобиля
- Статья о технологии Encrypted Client Hello
- "Инспекция" трафика с сохранением конфиденциальности
- Метки в текстах LLM и целевое влияние на результат
- Постквантовые криптосистемы на экспериментальном сервере TLS
- Радиомодуль в смартфоне и недокументированные возможности
- Целевая подмена приложений и "прокси" для утечек
1 комментарий от читателей
1 <t> // 1st February 2013, 13:54 // Читатель jno написал:
угу, т.е. домены .ru, .рф и .su можно считать изначально скомпрометированными и на свои заморочки с DNSSEC не тратиться :)