Almacenamiento de certificados SSL en registros DNS

  

¿Por qué no deshacerse de todas las autoridades de certificación y todo el tipo especial de certificados SSL que existen (validación extendida, etc.) y en su lugar solo se requiere que cualquiera que desee SSL escriba su propio certificado SSL autofirmado y luego lo guarde? en registros DNS.

Incluso hay un estándar para esto: DANE . Y ya está en uso en algunos sitios, pero actualmente principalmente para SMTPS y no HTTPS.

Pero, necesita DNSSec para asegurarse de que las búsquedas de DNS no sean falsificadas. Porque de lo contrario, un atacante de hombre en el medio podría simplemente enviar su propio certificado dentro de la búsqueda de DNS. Desafortunadamente, DNSSec no se usa mucho en este momento, por lo que por ahora tenemos que vivir con la estructura PKI establecida.

Pero una vez que DNSSec se implementa lo suficientemente profundo, DANE es una tecnología prometedora y puede usarla para usar sus propios certificados autofirmados o para tener una ruta de confianza adicional con los certificados tradicionales basados en CA.

Para tantos problemas como tienen las CA, el DNS es significativamente menos confiable que las CA de SSL. SSL es una de las herramientas que puede protegerlo cuando su DNS está siendo manipulado mediante la verificación de la identidad del servidor remoto. Si mueve los certificados a DNS (sin DNSSEC para verificar la confiabilidad de la respuesta de DNS), le ha dado a alguien que posee su DNS la capacidad de poseer toda su conexión sin que usted pueda detectarla. Mencionó DNSSEC, pero parece que quiere hacer los certificados sin él, y ese es un enfoque que está condenado al fracaso.

La manipulación del DNS es trivial:

• La ICANN tiene un documento sobre la modificación de la respuesta
• OpenDNS se utiliza para alterar las respuestas del DNS
• herramienta DNS MITM
• Artículo que describe varios ataques de DNS

Al final del día, si está en la misma red que yo y puedo ver su tráfico de forma pasiva, puedo manipular sus respuestas de DNS, incluso sin realizar un MITM. DNS normalmente usa UDP, por lo que cuando veo su solicitud, puedo "correr" contra el servidor legítimo para devolver una respuesta. Si necesita hacer una búsqueda recursiva, o si va a Internet para obtener OpenDNS o Google Public DNS, es casi seguro que voy a ganar la carrera e inyectar mi respuesta falsa.