¿Protege HTTPS contra la reconexión de DNS?

Question

¿Protege HTTPS contra la reconexión de DNS?

#1 de Steffen Ullrich (1 votos)
#2 de Robo (0 votos)

1

He estado jugando un poco con DNS reencuadernación. Hice una pequeña configuración y la tengo funcionando bien con las solicitudes HTTP regulares. Luego traté de hacerlo funcionar a través de HTTPS y tuve un pequeño momento "duh":

baddomain.com uses an invalid security certificate.

The certificate is only valid for *.target.com

Error code: SSL_ERROR_BAD_CERT_DOMAIN

Los navegadores verifican el certificado para cada solicitud. Con la reconexión de DNS, está realizando una solicitud posterior al mismo "dominio" pero a una IP diferente. El certificado del objetivo "reenlazado" no coincide con el dominio de origen, por lo que obtenemos un problema de certificado.

¿Es seguro asumir que los servicios HTTPS no son vulnerables a los ataques de reencuadernación de DNS?

tls dns dns-rebinding

pregunta Juicy 26.09.2016 - 11:34

fuente

2 respuestas

0

En resumen, sí, HTTPS protege contra este tipo de ataque porque el servidor (Bob) y el cliente (Alice) se comunican mediante una clave de cifrado simétrica acordada durante el intercambio de claves. Por lo tanto, Mallory no sabe cuál es la clave simétrica y no puede pretender ser Bob (hombre en el ataque central) ni descifrar nada del tráfico.

respondido por el Robo 26.09.2016 - 12:18

fuente

Lea otras preguntas en las etiquetas tls dns dns-rebinding

¿Cómo puedo reforzar un sistema contra acciones malintencionadas desde dentro? Función de los certificados en un sistema criptográfico híbrido simple

score 1 · Accepted Answer

TL; TR: HTTPS ayudará en contra de la reconexión de DNS.

Cada nueva sesión TLS establecida por el navegador valida el asunto del certificado contra el dominio de la URL. Al reiniciar el DNS, la víctima visita inicialmente un dominio controlado por el atacante y, después de que el DNS controlado por el atacante, cambie la dirección IP para que los cambios de este dominio apunten al mismo host (quizás interno).

Después de este cambio de DNS, el dominio en la URL sigue siendo el dominio de los atacantes, lo que significa que el navegador espera que el certificado de la nueva conexión TLS coincida con este dominio. Pero, el nuevo host de destino solo tiene un certificado para su propio dominio y no para el dominio de los atacantes. Esto significa que el protocolo de enlace TLS fallará, ya sea porque el servidor rechaza el protocolo de enlace ya que el nombre SNI en ClientHello no coincide con la configuración del servidor o porque el navegador rechazará el certificado del servidor ya que no coincide con el nombre en la URL .