DNSSEC ZSK di compromissione (attacco man-in-the-middle)

Question

DNSSEC ZSK di compromissione (attacco man-in-the-middle)

#1 da (1 voti)

0

Supponendo che sto amministrando una zona DNS e gestisco un server dei nomi autorevole che è protetto con DNSSEC (configurazione split ZSK / KSK).

Quando la ZSK (Zone-Signing-Key) viene mai compromessa, sarebbe sufficiente abbandonare la zona con un ZSK appena generato o anche il KSK avrebbe dovuto essere scambiato (e il secondo record DS inserito nella zona genitore pure?

La mia preoccupazione è che un man-in-the-middle possa usare lo ZSK compromesso per generare record falsi senza che un resolver sia in grado di rilevarlo, se pubblica simultaneamente il vecchio ZSK invece del nuovo. Non sono a conoscenza di un meccanismo di revoca per Zone-Signing-Keys né sembra possibile firmare anche una "data inattiva della chiave ZSK" con KSK.

Mi manca qualcosa o la compromissione dello ZSK richiede quindi anche uno scambio di KSK? Inoltre, quali sono i principali vantaggi di una configurazione split ZSK / KSK in questo caso?

dns man-in-the-middle dnssec

posta Simon Fromme 30.06.2016 - 14:27

fonte

1 risposta

Leggi altre domande sui tag dns man-in-the-middle dnssec

Come usare meterpreter exe standalone con una chiave USB collegata a una sessione vittima sbloccata Acquisisci una nuova autorizzazione dopo aver installato un'applicazione Android

score 1 · Answer 1

Il vantaggio principale di ZSK / KSK diviso è quello di poter cambiare gli ZSK molto spesso, poiché sono completamente sotto il tuo controllo, mentre per i KSK, se lo cambi, devi aggiornare il record DS associato nel tuo genitore zona, che non è sempre qualcosa al 100% automatizzato. Questo è il motivo per cui i KSK hanno in genere 1 o 2 anni di validità, in cui gli ZSK sono più simili a 1 mese.

Nel tuo caso, se lo ZSK è compromesso, devi rimuoverlo immediatamente dalla tua zona, aggiungerne uno nuovo che firmerà tutto il resto e assicurarti che sia firmato da te stesso dai tuoi KSK.

Se i tuoi ZSK sono compromessi perché, ad esempio, si trovava su un HSM e tu hai i KSK nello stesso posto, quindi se sei paranoico dovresti sospettare che tutto possa essere compromesso, il che significa cambiare tutte le tue chiavi in emergenza , contattando la tua zona genitore, provando a chiedere ai principali risolutori DNS di svuotare la cache dopo la tua nuova configurazione, ecc ... Ovviamente la stessa cosa se fosse una configurazione "SoftHSM".

Ma se solo ZSK è compromesso, i resolver lo rileveranno se usasse firmare i record perché il tuo KSK non firmerebbe più questo ZSK, rompendo quindi la catena di fiducia DNSSEC.