¿Qué impide que un hombre en el medio solicite un certificado para su servidor?

Se supone que una CA debe asegurarse de que los certificados que emite contengan solo información veraz. Cómo hacen eso es su negocio; Se supone que los CA graves deben publicar "Declaraciones de prácticas de certificación" detalladas que documentan sus procedimientos.

En la práctica, cuando desea comprar un certificado para un dominio www.myshop.com , la CA lo "desafía" a usted, para que demuestre que efectivamente tiene el control de ese dominio. Algunos métodos clásicos incluyen:

• La CA le envía una parte de los datos aleatorios, para incluirlos como nombre de host en el dominio. Por lo tanto, demuestra su control del DNS relacionado con el dominio.

• La CA le envía una parte de los datos aleatorios que debe colocar para descargar (a través de HTTP) desde el sitio www.myshop.com . De este modo, demuestra que controla el servidor principal que corresponde al dominio.

• La CA envía esa porción de datos aleatorios a través de un correo electrónico enviado a [email protected] . Les devuelve esa información, lo que demuestra que puede leer los correos electrónicos enviados al administrador del dominio.

Ninguno de estos mecanismos es realmente fuerte; y, además, es suficiente para que un atacante logre engañar a una CA entre los más o menos que son confiables de forma predeterminada por los navegadores web habituales. Sin embargo, los certificados fraudulentos parecen ser una rareza (digamos, una o dos veces al año, en todo el mundo), por lo que uno tiene que admitir que estos mecanismos de autenticación, aunque sean endebles, deben ser lo suficientemente buenos para el trabajo.

En cuanto al dominio mal escrito, es un método muy clásico que comúnmente se maneja al comprar esos dominios mal escritos, o al liberar a sus abogados sobre quienquiera que intente comprar un dominio que parece estar "muy cerca" de su propio dominio.

Las Autoridades de Certificación se ganan la vida en base a su reputación de solo entregar certificados a los administradores legítimos de un dominio. Si una CA comienza a dar demasiados certificados fraudulentos, los navegadores sacarán su certificado raíz y la CA irá a la quiebra, por lo que es mejor para la CA que no haga esto.

Exactamente cómo la CA verifica la identidad del solicitante varía según la CA y cuánto está dispuesto a gastar el cliente en el certificado. A grandes rasgos, hay diferentes niveles de certificados: Domain Validated (DV) que solo realiza comprobaciones automatizadas, y Extended Validation (EV) que requiere validación de persona a persona como las llamadas telefónicas con el CEO de la empresa solicitante, las reuniones cara a cara, etc., pero son más caras de comprar.

Para responder a la pregunta, En el caso más simple de DV, ¿qué impide a un hombre en el medio obtener un certificado para su dominio? Los métodos de verificación comunes incluyen:

• Demuestre que puede recibir correo electrónico en una de las siguientes direcciones: admin@<domain.com> , administrator@<domain.com> , hostmaster@<domain.com> , postmaster@<domain.com> , webmaster@<domain.com> , además de poder recibir correo electrónico en la dirección listado en la lista WHOIS del dominio. (Ejemplo: GlobalSign )

• Le dan un bloque de HTML, que incluye (creo) el hash de la Solicitud de firma de certificado (CSR) que envió, que debe insertar en la página principal de su sitio. Esto demuestra que el solicitante tiene derechos de administrador en el servidor. (Ejemplo: GlobalSign )

• Coloque el hash de la CSR en un archivo .txt en la raíz de su dominio, ej .: http://yourdomain.com/<Upper case value of MD5 hash of CSR>.txt . (Ejemplo: Comodo )

  

¿cómo pueden asegurarse de que realmente eres un administrador de este myshop.com? ¿Quizás fue un atacante el que solicitó este certificado para poder realizar el ataque del hombre en el ataque central?

No pueden. Si puede recibir correo para [email protected] , entonces puede obtener un certificado para ese sitio.

  

¿Qué impide que el mismo atacante solicite el certificado para el mismo dominio de otra CA?

Nada. Sin embargo, una solicitud de un certificado para un dominio de alto valor puede desencadenar alertas internas y verificaciones manuales. No se especifica qué es exactamente un "dominio de alto valor". Tal vez el Alexa Top 10000 sitios web o algo así. (La página de información Información para el público del CABForum habla sobre esto. (Archivado here .))

  

¿Alguien también puede obtener fácilmente un certificado para myhsop.com y esperar que algunos usuarios escriban errores?

En principio, sí. Con la excepción del "dominio de alto valor" mencionada anteriormente. Los detalles de cómo las AC intentan detectar la similitud (y con qué) tampoco son de conocimiento público.

  

¿Hay un almacenamiento común de todas las solicitudes para que las CA puedan detectarlo fácilmente o algún otro medio para prevenirlo?

No. Pero existe la iniciativa " Transparencia del certificado " (CT) de Google. La idea es que haya un registro público de todos los certificados emitidos. Y usted, como propietario de un dominio preocupado, puede ver estos registros para ver si ha habido certificados nuevos para uno de sus dominios. Esto permitiría al menos permitir que se detecten dobles emisiones después del hecho rápidamente. - Si y solo si todas las CA participan realmente en el esfuerzo de CT. Y si los navegadores hacen cumplir esto. (¿No hay entrada de registro? ¡No hay tráfico!)

Como todas las otras preguntas secundarias han sido respondidas adecuadamente, intentaré responder la pregunta sobre el registro de dominios que son similares al original.

Esta acción se conoce como typosquatting y como el typosquatter es propietario del dominio, tendrá un control completo sobre las solicitudes de verificación. que la autoridad de certificación SSL envía. Por lo tanto, podrán obtener un certificado, que es para todos los propósitos y propósitos legítimos para la CA.

Las únicas técnicas para defenderse contra esta forma de ataque serían adquirir a la defensiva dominios typo, o tomar acciones legales contra los typosquatters, como ha hecho Lego .

Por lo general, un proveedor de certificados validados de dominio le pedirá que cree un registro DNS TXT de su elección para myshop.com o ponga en línea una página web de su elección en enlace , para demostrar que eres el propietario del dominio. Esto generalmente impedirá que un atacante obtenga un certificado SSL para su dominio, a menos que ya hayan comprometido su DNS o su servidor web. Para los certificados EV (los que generalmente dan una barra verde en el navegador) los controles son más rigurosos, por lo que esos certificados son más caros.

No hay un registro central de solicitudes de certificados SSL, por lo que no se pueden correlacionar entre diferentes CA como usted sugiere.

Cualquier persona que posea el dominio myhsop.com puede obtener un certificado SSL para ese dominio. Si está preocupado por los errores tipográficos, registre los dominios para los errores tipográficos que le preocupan.