Componentes

Obedecer avisos de certificados do navegador devido a uma falha no DNS

NOVA ATUALIZAÇÃO do Windows 10 2004 - TIRANDO DÚVIDAS - LIVE BPV

NOVA ATUALIZAÇÃO do Windows 10 2004 - TIRANDO DÚVIDAS - LIVE BPV
Anonim

Há alguns dias, escrevi sobre uma falha fundamental no protocolo DNS (Domain Name Service) que lida com a pesquisa de nomes legíveis por humanos em endereços IP (Internet Protocol) processados ​​por máquina., aconselhando todos os leitores a determinar sua vulnerabilidade e agir.

Há mais um aviso que eu deveria passar, no entanto. Como essa falha permite que um invasor envenene o DNS para qualquer pessoa cujo sistema se conecte a um servidor DNS não corrigido, um invasor também pode ignorar uma proteção incorporada em sessões da Web criptografadas.

A criptografia da Web usa SSL / TLS (Secure Sockets Layer / Transport Layer Security), um padrão que depende de três métodos para garantir que o seu navegador se conecte apenas à parte correta na outra extremidade por um link seguro.

[Leitura adicional: as melhores caixas NAS para streaming e backup de mídia]

, cada servidor Web que usa SSL / TLS precisa ter um certificado, um por servidor ou um certificado de grupo. Este certificado identifica o servidor.

Em segundo lugar, o certificado vincula o nome de domínio do servidor. Você pode obter um certificado para www.infoworld.com e usá-lo com www.pcworld.com.

Em terceiro lugar, a identidade da parte que solicita o certificado para um determinado nome de domínio é validada por uma autoridade de certificação. Uma empresa que opera essa autoridade valida a identidade da pessoa e empresa que solicita um certificado e cria um certificado com sua bênção criptograficamente vinculada a ele. (Níveis mais altos de validação estão disponíveis agora, e é por isso que você vê uma grande área verde no local arquivado das versões mais recentes do Internet Explorer e do Firefox, que indicam que a validação estendida foi realizada.)

conjunto de certificados que comprovam sua identidade e que são pré-instalados em navegadores e sistemas operacionais. Quando você se conecta a um servidor Web, seu navegador recupera o certificado público antes de iniciar uma sessão, confirma que o endereço IP e o nome do domínio correspondem, valida a integridade do certificado e verifica a validade da assinatura da autoridade.

Se qualquer teste falha, você é avisado pelo seu navegador. Com a falha do DNS, um invasor pode redirecionar sua sessão bancária ou de comércio eletrônico para suas versões imitadas de sites seguros administrados por várias empresas, e seu navegador não notaria a diferença do endereço IP, porque o nome de domínio no certificado falso corresponderia ao IP endereço que o invasor tinha plantado.

No entanto, seu navegador notaria que não há nenhuma assinatura de autoridade de certificação confiável conectada. (Até o momento, não há relatos de qualquer engenharia social bem-sucedida dessas autoridades ligadas à falha do DNS.) Seu navegador informa que o certificado foi autoassinado, significando que o invasor usou um atalho e omitiu a assinatura de uma autoridade ou usou uma autoridade não confiável, que o invasor criou sozinho. (É trivial criar uma autoridade usando ferramentas de código aberto, e isso é útil em empresas e organizações. Eu fiz isso sozinho. Mas essas autoridades independentes não são validadas por navegadores, a menos que você instale separadamente um certificado nessas máquinas manualmente.)

Meu aviso aqui é que, se você receber qualquer tipo de certificado ou aviso SSL / TLS do seu navegador, pare a conexão, ligue para seu ISP ou departamento de TI e não insira nenhuma informação pessoal ou da empresa. >