Názor k článku Šifrované SNI lepí díru do soukromí, jako první ho bude umět Firefox od jouda - Tak znova, polopatě a zjednodušeně. Když lezu na web,...
-
jouda (neregistrovaný)
Tak znova, polopatě a zjednodušeně.
Když lezu na web, tak se resolvuje v DNS(SEC) tak, že se (obvykle) klient zeptá nějakého forwarderu, ten se zeptá rootu na .cz, ověří dnssec, pak se zeptá na cznicu na root.cz, ověří dnssec, pak se zeptá asinějakýhoprovidera, na A rooot.cz, ověří dnssec a výsledek pošle klientovi.
Klient vezme adresu, connectne se tam na 443, dostane server certifikát, ověří chain proti nějakému seznamu a pak s ním začne komunikovat.
Tvrdís ze je to na houby, nebezpečné a cert v DNS by byl lepši. Jenže když někdo změní DNS odpověď (třeba unese 53ku na tom TP-Linku), tak na mě okamžitě vybafne invalid nebo self-signed certificate (a získat pro útočníka platný certifikát pro root.cz není úplně nemožné, ale je čím dál těžší, zjevně dost těžké že se nevyplatí získávat falešné certy ani pro vykrádání bankovních účtů) a vím že se děje něco špatného.
Zatímco když ten platný certifikát bude v DNS, tak TP-Link vrátí jak útočníkův A-record, tak útočníkův certifikát, a je to konečná, nikdo se nic nedoví.
(a ty windowsy u uživatelů si to samy dnes neodvalidují, a aby si samy browsery implementovaly vlastní dnssec validaci, toho se moc dožít nechci)
tl;dr: Věřím, že pokud můj resolver přímo připojený do mé interní sítě vyresolvuje host zabezpečený dnssec, tak že dostanu správnou odpověď.
Věřím že když dostanu špatnou odpověď, tak se o tom s vysokou pravděpodobností dozvím.
ČLÁNKY DO MAILU