Реплика: подмена адресов в DNS при “поддержке” DNSSEC
Кстати, если у вас есть секретный ключ от подписей DNSSEC, для, скажем, зоны первого уровня, то быстро подменять адреса и перехватывать трафик в доменах второго уровня этой зоны, не нарушая безопасности ключей, можно так: генерируется “теневая” зона, сразу содержащая нужные “перехватывающие” записи. Эта зона подписывается по той же схеме, что и публичный экземпляр. Узлы, осуществляющие перехват и подмену DNS, имеют доступ к “теневой” зоне, откуда в нужный момент извлекают подписанные записи. Естественно, такая схема работает только при наличии соответствующей авторизации.
По сравнению с инфраструктурой SSL – есть важное отличие: нельзя осуществлять подмену адресов в других доменах первого уровня, от которых у вас нет ключей, а только в своём. SSL-сертификат удостоверяющий центр может выпустить для любого домена.
Адрес записки: https://dxdt.ru/2013/01/30/5546/
Похожие записки:
- Ретроспектива заметок: ключ по фотографии
- Реплика: атака посредника в TLS и проблема доверия сертификатам
- Симметричные ключи, аутентификация и стойкость в TLS
- Новые корневые сертификаты на audit.statdom.ru
- Контринтуитивное восприятие ИИ на примере из криптографии
- Системы счисления и системное администрирование
- Занятный замок Fichet 787
- Удостоверяющий центр TLS ТЦИ
- Влияние систем ИИ на процессы в мире
- Как правильно "показать TLS-сертификат", рекомендации
- TLS: выбор сертификата по УЦ в зависимости от браузера
1 комментарий от читателей
1. 1st February 2013, 13:54 // Читатель jno написал:
угу, т.е. домены .ru, .рф и .su можно считать изначально скомпрометированными и на свои заморочки с DNSSEC не тратиться :)