Může uniknout doména certifikátu?

[jjrsk]

No, stále nevím, o co vlastně jde.
...

Co nechapes na cibuli? Proste nechce aby mu na vhost s k897&hdash.neco.nekde .... lezli lidi, co tam nemaj co pohledavat.

A reseni je primitivni ... pouzivat selfsign cert nebo vlastni neverejnou CA. Pokud chces eliminovat moznosti pres dns ... tak hosts.

[Reklama]

[Vít Šesták (v6ak)]

Myslím, že jsem tam možnosti, jak to lze chápat, rozepsal. Pokud je něco nejasného, mohu odpovědět na konkrétní otázku.

Pokud někdo nechce, aby mu na vhost lezli neznámí lidé, řešení je jednoduché – hodit tam autentizaci. Nejspíš to bude řádově bezpečnější i uživatelsky přívětivější.

[Filip Jirsák]

Co nechapes na cibuli? Proste nechce aby mu na vhost s k897&hdash.neco.nekde .... lezli lidi, co tam nemaj co pohledavat.

Co vlastně chce mikesznovu není moc jasné (jako obvykle), ale nemyslím si, že by to bylo to, co popisujete.

A reseni je primitivni ... pouzivat selfsign cert nebo vlastni neverejnou CA. Pokud chces eliminovat moznosti pres dns ... tak hosts.

To, co popisujete, ovšem není řešení. Pokud se tam nemá dostat někdo nepovolaný, je řešením autentizace (jak píše Vít Šesták) nebo alespoň povolení přístupu na základě IP adresy. Přičemž zprovoznit na libovolném webovém serveru autentizaci alespoň jménem a heslem (klidně napevno zadrátovaným v konfiguráku) je asi tak milionkrát jednodušší, než řešit vlastní CA nebo self-signed certifikát.
A kdyby chtěl, aby neunikl název skrze Certificate Transparency, řeší se to hvězdičkovým certifikátem (jak už tu bylo několikrát napsáno). Používat self-signed certifikát nebo vlastní certifikační autoritu pro web je v drtivé většině případů jen zbytečná komplikace, která přinese víc problémů než užitku.

[PCnity]

No, stále nevím, o co vlastně jde.
...

Co nechapes na cibuli? Proste nechce aby mu na vhost s k897&hdash.neco.nekde .... lezli lidi, co tam nemaj co pohledavat.

A reseni je primitivni ... pouzivat selfsign cert nebo vlastni neverejnou CA. Pokud chces eliminovat moznosti pres dns ... tak hosts.

Ked si odmyslime ze security through obscurity moc dobre nefunguje... ano, obcas je taky use case ak nejde o citlive veci. Netreba ani SS, ani neoficialnu CA, staci pouzit wild card certifikat. Aj Letsencrypt ich ponuka (DNS validacia).

[MrWhite69]

Viz databázi crt.sh.

Z toho se mi trochu stáhli půlky. Tak nějak jsem myslel, že domény nejdou listovat. Že pokud budu mít {{UUIDv4}}.example.org, tak dokud nikomu nedám adresu, tak je defakto tajná.
Ne, že bych na to někde spoléhal ale spíš takový předpoklad, že je člověk aspoň chráněn od scraperů atd.


U Seznamu to dává i hezký mailing list 
https://crt.sh/?Identity=seznam.cz

Issuer Name:
C=CZ, O="Česká pošta, s.p. [IČ 47114983]", CN=PostSignum Qualified CA 2

Napr.
https://dnsdumpster.com/

Normalni soucast OSINT.

[Reklama]

[jjrsk]

...

Jasne jirsaku, a jak asi tak prihlasovani resi to, ze tam lezou boti a snazej se prihlasit a treba jich je tolik, ze to vyznamne zatezuje tu kalkukacku na ktery to jede? Aha, naprosto nijak vid? Nj, ale ty abys taky necemu rozumel, to by sme museli vyhlasit statni svatek.

...staci pouzit wild card certifikat...

Nestaci, protoze to jmeno ti utece jinak, treba pres DNS dotazy klientu. A jako bonus ... spousta ruznych uberaplikaci(treba od soudruhu z MS) ti vynada, ze server nema spravnej certifikat, protoze neobsahuje jeho nazev.

[Vít Šesták (v6ak)]

Pokud to poběží na veřejné IPv4, boti se na to budou pokoušet připojit velmi rychle, nehledě na doménu. V této chvíli může server mít leda tak prázdný default vhost, aby nevrátil certifikát s doménou, a aby jej tento provoz zatěžoval co nejméně. Ano, pokud si to můžete dovolit IPv6-only, tak se botům můžete bránit lépe.

A pokud jde jen o zátěž od botů, možná by ten trik s wildcardem (jakkoli má svá proti a není to čisté řešení) mohl být dostatečný, pokud to DNS nepropálí. Ano, název domény nejspíš poputuje někde v cleartextu, ale pokud řešíme jen zátěž od bota, který dělá kobercový nálet, pro tvůrce botů asi nebude ekonomické to zkoušet zachytávat po síti.

V neposlední řadě autentizace nemusí být moc náročná na zdroje, zvlášť pokud řešíme jen zátěž od botů. Ano, na kalkulačce si nemůžeme v takovém případě dovolit náročnější derivační funkce.

Ad überaplikace, co nepodporují wildcard certifikát – máte nějaký príklad takové seriózní aplikace z posledních 10 let?

[Filip Jirsák]

Jasne jirsaku, a jak asi tak prihlasovani resi to, ze tam lezou boti a snazej se prihlasit a treba jich je tolik, ze to vyznamne zatezuje tu kalkukacku na ktery to jede?

Porovnání jména a hesla při HTTP Basic autentizaci zatěžuje server podstatně méně, než TLS.

Nestaci, protoze to jmeno ti utece jinak, treba pres DNS dotazy klientu.

To by ty DNS dotazy nejprve musel někdo odposlouchávat a s odposlechnutými názvy pak něco dělat. Navíc self-signed certifikát ani vlastní CA nijak neeliminují dotazy DNS dotazy klientů. A pokud byste chtěl argumentovat použitím /etc/hosts, tím eliminujete ty DNS dotazy, ale nemá to žádný vliv na certifikáty, takže hvězdičkový certifikát stačí a není potřeba si komplikovat život self-signed certifikátem nebo vlastní CA.

A jako bonus ... spousta ruznych uberaplikaci(treba od soudruhu z MS) ti vynada, ze server nema spravnej certifikat, protoze neobsahuje jeho nazev.

To jste si popletl. Těm aplikacím vadí váš certifikát od neznámé certifikační autority (nebo self-signed). Neznám aplikaci, která by používala HTTPS a nerozuměla hvězdičkovým certifikátům.

Nj, ale ty abys taky necemu rozumel, to by sme museli vyhlasit statni svatek.

No tak si ten celoroční svátek dejte a nepište sem. Pro všechny to bude přínos.

[Wasper]

Ked si odmyslime ze security through obscurity moc dobre nefunguje...

Nesměšujme security through obscurity (peníze mám schované v kůlně na dříví v sudu na obilí, kde by to nikdo nečekal) a defense in depth (peníze mám schované v trezoru v dílně, kde mám fóĺie v oknech, na vstupu zámek na otisk a po cestě kamerku, a nikomu o tom trezorku neříkám).

[Vít Šesták (v6ak)]

Pro zajímavost, vypadá to, že domény z CT logu nebo certifikátů opravdu boti zkoumají. A to i SAN.

Mám jednu doménu s diakritikou, kterou nikde neinzeruju. Slouží pro situace, kdy někdo při psaní adresu tu diakritiku napíše. Je přesměrovaná na variantu bez diakritiky. (Přesněji, prvně je přesměrování z HTTP na HTTPS, potom až na správnou doménu, aby fungovalo HSTS.) Obě domény mají společný certifikát. A na této doméně nějací boti hledají WordPress, který tam není.

Vidím dva způsoby, jak to mohl bot zjistit:

a. Z CT logu
b. Scan IPv4 prostoru, dostal certifikát, z něj si přečetl seznam domén v SAN.

Jsou tu teoreticky i další způsoby jako sniffování komunikace (přijde mi nepravděpodobné – neefektivní pro necílený útok, navíc se ta doména fakt moc nepoužívá) nebo automatické doplňování diakritiky do domén bez diakritiky (ála proč to dělat jednoduše, když to jde složitě), ale nic tak realistického jako CT logu a scan 443 na IPv4 mě nenapadá.

[Filip Jirsák]

A to i SAN.

Že boti používají SAN je logické, protože prohlížeče nepoužívají nic jiného, než SAN. Samotné jméno v certifikátu je nezajímá (když se přestaly používat EV certifikáty).

[Vít Šesták (v6ak)]

Jo, ony vlastně dnes prohlížeče už SAN vyžadují. Tak jako tak:

1. Zpracování SAN není nějaké velké překvapení, jen jsem si toho všiml.
2. Odfláknutý bot by klidně mohl číst CN, a fungoval by.