Posibilidad de un ataque DNSSEC

0

Comienzo a aprender sobre DNS y DNSSEC. Descubrí un trabajo DNSSEC similar a una firma PGP. Un dato firmado por una clave y la clave firmada por otra clave. Por lo tanto, tengo un ataque que podría funcionar con algún supuesto, pero quiero que algo de validación funcione.

Suponiendo que un atacante haya interceptado una red y pueda manipular el paquete. Un cliente solicita un registro DNS del DNS público de Google. Respuestas de DNS con respuesta legítima. Ahora el atacante intercepta el paquete de respuesta, modifica la respuesta y elimina cualquier información relacionada con DNSSEC. Cliente dirigido al sitio del atacante.

El ataque básicamente elimina la información relacionada con DNSSEC. Dado que el cliente no tiene ninguna información para verificar los datos, solo puede confiar y conectar la dirección IP dentro de la respuesta del DNS. Y el atacante no necesita falsificar el dominio objetivo y su padre porque es solo una simple resta.

¿Es posible este ataque o DNSSEC tiene algún tipo de mecanismo para evitar que esto ocurra?

    
pregunta Hartman 01.03.2017 - 03:31
fuente

1 respuesta

1

Hay una cadena de confianza que detiene esto:

La propia raíz DNS está firmada con DNSSEC. Esto es bien conocido por los clientes que admiten DNSSEC. Cuando la raíz del DNS proporciona registros sobre (por ejemplo,) el dominio .com, su respuesta incluirá un registro de DS para indicar que ese dominio también debe estar firmado. Esto funciona de nuevo en niveles posteriores: el dominio .com proporcionará un registro de DS para indicar que example.com debe estar firmado con DNSSEC.

Debido a esto, un atacante que elimine cualquier registro DNSSEC romperá la validez de DNSSEC del nivel anterior, y eliminar DNSSEC de la raíz es una señal clara de que se ha producido una manipulación indebida.

Advertencia: lo anterior solo funciona si se firma cada parte del dominio. Si example.com no está firmado, pero secure.example.com sí lo está, el ataque que está describiendo es posible a menos que el resolvedor sepa del ancla de confianza para secure.example.com.

Fuentes:

respondido por el Joseph Sible 01.03.2017 - 04:39
fuente

Lea otras preguntas en las etiquetas