Книги: "Создание сайтов" - "Доменные войны". Защита информации: техническое описание TLS. Ресурсы: LaTeX - DNSSEC: проверка, внедрение
Реплика: ошибка в реализации TLS от Apple
В продолжение записки про ошибку “goto fail” в операционных системах Apple. Это очень показательный случай, очередной. Ошибка, заключающаяся в одной элементарной строке кода, приводит к тому, что “защищённое” соединение можно перехватывать без проблем. И практических методов защиты от использования этой ошибки – нет.
Сравнение отпечатков сертификатов никак не помогает, потому что сертификат используется легитимный, полученный с сервера – ошибка гарантирует, что не проверяется соответствие подписей. Подмена IP-адреса сервера может происходить с помощью DNS, это традиционный способ. Тут, в принципе, некоторую защиту обеспечивает DNSSEC, но только если атакуемый домен подписан (а это вряд ли). Более того, во многих сетевых конфигурациях (скажем, в чужой WiFi-сети) подмену сервера можно провести, сохранив его IP-адрес, то есть, DNSSEC уже никак не поможет. DANE – только добавит пользователю уверенности, что всё хорошо, так как отпечатки сертификатов из DNS и с подставного сервера – совпадут.
Вот.
Так работает современная массовая криптография. Один оператор goto – и больше нет защиты. Совсем.
()
Похожие записки:
- Квантовое распределение ключей и практическая безопасность
- Ротация корневого ключа DNSSEC отложена
- Скрытое управление пограничными маршрутизаторами
- Реплика: снова биометрическая идентификация для банков
- Квантовые атаки на протокол биткойнов
- Антивирусы и "подмена" сертификатов в браузерах
- Статья про TLS 1.3
- Сервис DNS-резолвера от Cloudflare
- Обезличивание данных и киберпанк в "умном городе"
- Сайт dxdt.ru только по HTTPS - три года
- Шифрование в "индустриальных" протоколах и анализ трафика
- Сложности стеганографии
- Техническое: ротация корневого ключа DNSSEC
- Обнаружение и извлечение документов с пользовательского компьютера
- Атаки на датчики промышленных систем управления
- "Ключи на клиенте" и протокол Диффи-Хеллмана
- Самоуправляемые автомобили: "злоупотребление" протоколами
Кратко этот сайт характеризуется так: здесь можно узнать про технологический прогресс, Интернет, математику, авиацию, компьютеры, авиационные компьютеры, вооружения, роботов, вооружение роботов, армии мира, астрономию, космические исследования. И иногда о чём-то ещё (
Комментарии читателей блога: 3
1. 25th February 2014, 16:12 // Читатель Дмитрий Белявский написал:
А не надо писать криптографию самим. OpenSSL этой ошибке не подвержен, NSS тоже…
2. 25th February 2014, 17:56 // Александр Венедюхин ответил:
Это да. Странно – они взялись за свой “стек”, но не смогли даже выстроить аудит кода. Предпочли goto fail.
3. 26th February 2014, 18:57 // Читатель Jeff Zanooda написал:
Это скорее выглядит как закладка. Пока не обнаружили, угрозы безопасности нет (спасает security by obscurity – кому придет в голову пробовать левый сертификат, ясно же, что код его не примет). А когда обнаружили, можно сказать “ой, ошибся” и тут же исправить. Называется plausible deniability.