Να συμμορφώνεστε με τις προειδοποιήσεις σχετικά με το πιστοποιητικό προγράμματος περιήγησης λόγω της ανεπάρκειας DNS

Πριν από λίγες μέρες, έγραψα για ένα θεμελιώδες ελάττωμα στο πρωτόκολλο DNS (Domain Name Service) το οποίο χειρίζεται την αναζήτηση από ονόματα που μπορούν να διαβαστούν από τον άνθρωπο σε διευθύνσεις πρωτοκόλλου Internet (IP) που έχουν επεξεργαστεί με μηχάνημα, συμβουλεύοντας όλους τους αναγνώστες να προσδιορίσουν την ευπάθεια τους και να αναλάβουν δράση.

Υπάρχει όμως μια ακόμα προειδοποίηση που πρέπει να μεταφέρω. Επειδή αυτό το ελάττωμα επιτρέπει σε έναν εισβολέα να δηλητηριάζει το DNS για οποιονδήποτε το σύστημα του οποίου συνδέεται με έναν DNS server χωρίς πρόσβαση, ο εισβολέας μπορεί επίσης να παρακάμψει μια προστασία ενσωματωμένη σε κρυπτογραφημένες συνεδρίες Web.

Η κρυπτογράφηση Web χρησιμοποιεί SSL / TLS (Secure Sockets Layer / Transport Layer Ασφάλεια), ένα πρότυπο που βασίζεται σε τρεις μεθόδους για να διασφαλίσει ότι το πρόγραμμα περιήγησης σας συνδέεται μόνο με το σωστό κόμμα στο άλλο άκρο για ασφαλή σύνδεση.

[Περισσότερες πληροφορίες: Καλύτερα πλαίσια NAS για streaming και δημιουργία αντιγράφων πολυμέσων]

, κάθε διακομιστής Web που χρησιμοποιεί SSL / TLS πρέπει να διαθέτει ένα πιστοποιητικό, ένα ανά διακομιστή ή ένα πιστοποιητικό ομάδας. Αυτό το πιστοποιητικό αναγνωρίζει το διακομιστή.

Δεύτερον, το πιστοποιητικό συνδέει το όνομα τομέα του διακομιστή. Μπορείτε να πάρετε ένα πιστοποιητικό για το www.infoworld.com και να το χρησιμοποιήσετε με το www.pcworld.com

Τρίτον, η ταυτότητα του μέρους που ζητά το πιστοποιητικό για ένα συγκεκριμένο όνομα τομέα επικυρώνεται από μια αρχή έκδοσης πιστοποιητικών. Μια επιχείρηση που εκμεταλλεύεται μια τέτοια αρχή επικυρώνει την ταυτότητα του προσώπου και της εταιρείας που ζητεί πιστοποιητικό και στη συνέχεια δημιουργεί ένα πιστοποιητικό με την ευλογία τους κρυπτογραφικά συνδεδεμένο σε αυτό. (Τα υψηλότερα επίπεδα επικύρωσης είναι τώρα διαθέσιμα, γι 'αυτό βλέπετε μια μεγάλη πράσινη περιοχή στη θέση που καταχωρήθηκε στις πιο πρόσφατες εκδόσεις του Internet Explorer και του Firefox, πράγμα που δείχνει ότι εκτελέστηκε εκτεταμένη επικύρωση.)

σύνολο πιστοποιητικών που αποδεικνύουν την ταυτότητά τους και τα οποία είναι προεγκατεστημένα σε προγράμματα περιήγησης και λειτουργικά συστήματα. Όταν συνδέεστε σε ένα διακομιστή Web, το πρόγραμμα περιήγησης ανακτά το δημόσιο πιστοποιητικό πριν ξεκινήσει μια περίοδο σύνδεσης, επιβεβαιώνει ότι η διεύθυνση IP και το όνομα τομέα συμφωνούν, επικυρώνει την ακεραιότητα του πιστοποιητικού και κατόπιν ελέγχει την εγκυρότητα της υπογραφής εξουσίας

. οποιαδήποτε δοκιμή αποτυγχάνει, σας ειδοποιείται από το πρόγραμμα περιήγησής σας. Με το ελάττωμα DNS, ένας εισβολέας θα μπορούσε να ανακατευθύνει την τραπεζική ή την ηλεκτρονική σας συναλλαγή στις μιμούμενες εκδόσεις ασφαλών τοποθεσιών που διαχειρίζονται διάφορες επιχειρήσεις και το πρόγραμμα περιήγησης δεν θα αντιληφθεί τη διαφορά της διεύθυνσης IP, επειδή το όνομα τομέα στο πλαστό πιστοποιητικό θα ταιριάζει με το IP διεύθυνση που ο φυλακιστής είχε φυτεύσει.

Ωστόσο, ο περιηγητής σας θα σημείωνε ότι δεν υπάρχει επισυναπτόμενη υπογραφή αξιόπιστης αρχής πιστοποιητικού. (Μέχρι στιγμής, δεν υπάρχουν αναφορές για οποιαδήποτε επιτυχημένη κοινωνική μηχανική αυτών των αρχών που να συνδέονται με το ελάττωμα DNS.) Το πρόγραμμα περιήγησής σας θα σας έλεγε ότι το πιστοποιητικό αυτόματα υπογράφηκε, πράγμα που σημαίνει ότι ο επιτιθέμενος χρησιμοποίησε μια συντόμευση και άφησε την υπογραφή της αρχής ή χρησιμοποίησε μια μη αξιόπιστη αρχή, την οποία ο ίδιος ο ίδιος ο ίδιος ο ίδιος ο ίδιος δημιούργησε. (Είναι ασήμαντο να δημιουργείτε μια αρχή που χρησιμοποιεί εργαλεία ανοιχτού κώδικα και αυτό είναι χρήσιμο σε εταιρείες και οργανισμούς, το έχω κάνει μόνοι μου, αλλά αυτές οι ανεξάρτητες αρχές δεν επικυρώνονται από τους φυλλομετρητές, εκτός εάν εγκαταστήσετε ξεχωριστά ένα πιστοποιητικό στις μηχανές αυτές με το χέρι.

Η προειδοποίησή μου είναι ότι εάν λάβετε κάποιο είδος πιστοποιητικού ή προειδοποίησης SSL / TLS από το πρόγραμμα περιήγησής σας, σταματήστε τη σύνδεση, καλέστε τον ISP ή το τμήμα πληροφορικής σας και μην καταχωρίσετε καμία προσωπική ή εταιρική πληροφορία. >