Pazite na upozorenja o certifikatu preglednika zbog DNS pogreške

Prije nekoliko dana pisalo sam o osnovnom nedostatku u protokolu DNS (Domain Name Service) koji obrađuje pretraživanje iz ljudski čitljivih imena u strojno obrađene Internet Protocol (IP) adrese, savjetujući svim čitateljima da utvrde svoju ranjivost i poduzmu mjere.

Još uvijek postoji još jedan upozorenje. Zbog toga što ovaj nedostatak omogućuje napadaču da otima DNS za svakoga čiji se sustav povezuje s nepopunjenim DNS poslužiteljem, napadač može zaobići i zaštitu ugrađenu u šifrirane web sesije.

Web enkripcija koristi SSL / TLS (Secure Sockets Layer / Transport Layer Sigurnost), standard koji se oslanja na tri metode kako bi se osigurao da se vaš preglednik povezuje samo s ispravnom stranicom s druge strane za osiguranu vezu.

[Daljnje čitanje: Najbolji NAS kutiji za streaming medija i backup]

Prvo, svaki web poslužitelj koji koristi SSL / TLS mora imati certifikat, jedan po poslužitelju ili grupni certifikat. Ovaj certifikat identificira poslužitelj.

Drugo, potvrda povezuje naziv domene poslužitelja. Možete dobiti certifikat za www.infoworld.com i koristiti ga s www.pcworld.com.

Treće, identitet stranke koja zahtijeva certifikat za određeni naziv domene potvrđuje nadležno tijelo za izdavanje certifikata. Tvrtka koja upravlja ovakvim tijelom potvrđuje identitet osobe i tvrtke koja traži potvrdu, a potom stvara certifikat s kriptografijom koja je povezana s njom. (Veći stupanj provjere valjanosti sada je dostupan, zbog čega vidite veliko zeleno područje na lokaciji pohranjenom u najnovijim verzijama Internet Explorera i Firefoxa, što ukazuje na to da je provedena proširena provjera valjanosti.)

Ove ovlasti certifikata imaju set certifikata koji dokazuju svoj identitet i koji su unaprijed instalirani u preglednicima i operacijskim sustavima. Kada se povežete s web-poslužiteljem, vaš preglednik dohvaća javni certifikat prije početka sesije, potvrđuje da se IP adresa i naziv domene podudaraju, potvrđuje cjelovitost certifikata, a zatim provjerava potpis autentičnosti za njegovu valjanost.

Ako svaki test ne uspije, vaš preglednik upozorava vas. S pukotinom DNS napadač može preusmjeriti vašu bankovnu ili e-trgovinsku sesiju na njihove oponašane verzije sigurnih web-lokacija koje pokreću razne tvrtke, a vaš preglednik ne bi primijetio razliku u IP adresi jer bi ime domene u lažnom certifikatu odgovaralo IP-u adresa koju je napadač postavio.

Međutim, vaš će preglednik zabilježiti da u privitku nema pouzdanog potpisa potvrde ovlasti. (Do sada nije bilo izvještaja o bilo kakvom uspješnom društvenom inženjeringu tih vlasti vezanih uz DNS mana.) Vaš će preglednik reći da je certifikat potpisan, što znači da je napadač koristio prečac i izostavio autorsko potpise ili koristio je ne-povjerljiv autoritet, da se napadač stvorio. (Nemoguće je stvoriti autoritet pomoću alata otvorenog koda, a to je korisno u tvrtkama i organizacijama.Ja sam to učinio, no ta neovisna tijela ne potvrđuju preglednici, osim ako zasebno ne stavljate certifikat na te strojeve ručno.)

Moja upozorenja ovdje su da, ako dobijete bilo kakav certifikat ili SSL / TLS upozorenje iz vašeg preglednika, zaustavite vezu, nazovite vašeg ISP-a ili IT odjela i ne unosite nikakve osobne ili poslovne informacije.