Uso del nombre de host corto en los certificados X509

2

Estamos utilizando una autoridad de certificación interna para nuestra empresa. Notamos que es posible agregar como subjectAltName el nombre de host sin el dominio. Estamos utilizando example.org para servidores internos y example.com para servidores externos públicos.

Por ejemplo, En lugar de usar mysite.example.org, podemos crear un certificado como:

Asunto: CN = mysite.example.org
subjectAltName = DNS.1 = mysite.example.org, DNS.2 = mysite

De esta manera, las personas pueden usar enlace y funcionará. La búsqueda de DNS es example.org y example.com.

Tengo 3 preguntas:

  • ¿es seguro?
  • ¿Cuáles son los problemas de seguridad que podrían ser causados por tal configuración?
  • ¿Cuál es el tipo de ataque que alguien podría aprovechar esta configuración?

Edit1 : parece que las autoridades de certificados públicos se están alejando de firmar certificados usando un "nombre interno": enlace y enlace

    
pregunta Mircea Vutcovici 14.12.2016 - 18:00
fuente

1 respuesta

1
  

¿Es seguro?

un poco menos que FQDN. El problema con los nombres cortos es ambigüedad de nombre. FQDN es único en público, pero no es necesario estar en redes privadas. El problema con los nombres cortos es ambigüedad de nombre y nada más. Es aceptable usar nombres cortos en redes privadas pequeñas, sin embargo, es imposible mantenerlos en redes grandes. No hay nada de malo si usa un nombre corto único en redes privadas. Sin embargo, puede haber un problema cuando varios dispositivos provistos de fábrica están configurados para compartir el mismo nombre corto.

  

¿Cuál es el tipo de ataque que alguien podría aprovechar esta configuración?

un atacante todavía tiene que falsificar el mecanismo de resolución de nombres (DNS para FQDN y NetBIOS para nombres cortos) para redirigir al cliente a un host fraudulento con el mismo nombre.

    
respondido por el Crypt32 14.12.2016 - 18:28
fuente

Lea otras preguntas en las etiquetas