DNSSEC est-il vraiment inutile si TLS est correctement configuré?
Je lisais cet article http://sockpuppet.org/blog/2015/01/15/AGAINST-DNSSEC/ et cette ligne a attrapé mon œil ", avec TLS correctement configuré, DNSSEC n'ajoute rien." Ma réaction intestinale était de ne pas être d'accord, mais plus j'y pensais, j'ai réalisé que je ne pouvais pas penser à un contre-exemple. Accordé, je n'ai qu'une compréhension curseure de DNSSEC, mais il semble correct. Est-ce que je manque quelque chose?
TL; TR: Dans certains cas d'utilisation comme HTTPS (Web) DNSSEC n'est pas vraiment nécessaire. Dans d'autres cas d'utilisation tels que SMTP (mail), les spoofs DNS ne seront pas remarqués par TLS, qui est l'homme du milieu est possible si DNS peut être utilisé même si TLS lui-même est correctement utilisé.
Des détails:
Lorsqu'il est utilisé au sein de HTTPS (Web) et du système CA actuellement établi, vous n'avez pas besoin de DNSSEC, car le navigateur vérifie le nom de l'URL sur le nom du certificat et valide la chaîne de confiance à l'aide d'une racine stockée localement (pré-approuvée). -CALIFORNIE. Mais notez que la simple délivrance du certificat lui-même pourrait être affectée par des éclaboussures DNS (voir ci-dessous).
Avec SMTP (Transport de courrier), la situation est différente. Pour obtenir le prochain saut dans la livraison du courrier, un agent de transfert de courrier (MTA) doit savoir quel serveur est responsable de quel domaine destinataire. Ceci est fait en recherchant l'enregistrement MX dans DNS. Si cet enregistrement peut être spoofed (qui peut être effectué sans DNSSEC), le MTA délivrera le courrier au mauvais serveur de messagerie. Même si la livraison est effectuée avec TLS, l'envoi de MTA ne remarquera pas si le MX signale le serveur d'attaquant en tant que serveur cible, car le nom d'hôte du serveur d'attaquants et le nom à l'intérieur du certificat correspondent toujours. Un mécanisme similaire à MX pour le courrier existe pour SIP (VoIP) sous la forme d'enregistrements SRV et il a donc les mêmes problèmes.
En dehors de cela, il existe d'autres protocoles qui s'appuient sur des DNS sécurisés. Le plus important est probable DANGE qui tente de remplacer le système CA actuellement utilisé mais cassé avec un système où le certificat attendu est stocké au même endroit que le nom d'hôte, qui se trouve à l'intérieur du DNS. De la même manière que vous pouvez aussi stocker les clés d'hôte SSH.
En outre, dans le système actuel avec l'autorité de confiance du public, la plupart des vérifications d'identité effectuées lors de la délivrance d'un certificat validée de domaine peut être forgée si l'attaquant est capable de faire des spoofs DNS au bon endroit. Cela inclut le cas où la validation du domaine est effectuée avec le courrier ou où la validation est effectuée en accédant à un fichier spécifique sur le site uniquement à HTTP (car le site n'a pas encore de HTTPS). Dans le premier cas, l'enregistrement MX devra être spoofed, vous devez utiliser des enregistrements SPOOF A/AAAA ou CNAME dans le second cas. Et une fois que l'attaquant a obtenu le certificat pour le site en question, l'attaque MITM contre le site ne sera plus remarquée.