Implicaciones de seguridad de la identificación del nombre de host en SNI y otras preguntas de SNI

0

Si hago una captura de paquetes en una sesión https en la que participa SNI, el saludo del cliente revela, en texto sin formato, el nombre de host que estoy solicitando.

Creo que antes de SNI, no había nada en un paquete SSL / TLS que pudiera identificar el sitio al que alguien intentaba acceder. Estoy pensando en sistemas que monitorean o filtran según el nombre de host solicitado. Con SNI, tienen la capacidad de hacerlo, incluso para el tráfico cifrado con TLS (basado en el Hola del Cliente en texto sin formato), mientras que no lo hicieron antes de SNI.

Si instalo un certificado que no es de SNI (si incluso pudiera obtener uno más), ¿el cliente todavía se identifica en el paquete de saludo del cliente? ¿Es eso simplemente inherente a TLS 1.2 y mis referencias al "problema" de SNI es en realidad un "problema de TLS 1.2"?

    
pregunta theglossy1 20.04.2017 - 08:18
fuente

1 respuesta

4
  

Creo que antes de SNI, no había nada en un paquete SSL / TLS que pudiera identificar el sitio al que alguien intentaba acceder.

Eso está mal. El certificado devuelto por el servidor contiene el nombre del sitio como sujeto. Aunque es posible que esto no sea tan específico como SNI ya que puede haber varios nombres dados como asunto (especialmente con CDN).

  

Si instalo un certificado no SNI ...

No existe tal cosa como un certificado SNI o no SNI. SNI es una extensión del protocolo de enlace TLS que se necesita para admitir varios sitios y, por lo tanto, certificados diferentes que utilizan la misma dirección IP. Es comparable al encabezado de host en la solicitud HTTP. Y como el cliente utiliza SNI para obtener el certificado que coincide con el nombre de destino en el primer caso, no puede ser una propiedad del certificado.

Depende completamente del cliente si se usa o no la extensión SNI. Pero, todos los navegadores modernos y la mayoría de las bibliotecas TLS lo hacen porque tienen que admitir el caso común de que varios sitios compartan la misma dirección IP.

    
respondido por el Steffen Ullrich 20.04.2017 - 09:03
fuente

Lea otras preguntas en las etiquetas