建站
咨詢(xún)
售后
建站咨詢(xún)
新聞中心
CANN(互聯(lián)網(wǎng)名稱(chēng)與數(shù)字地址分配機(jī)構(gòu))發(fā)布了一個(gè)安全公告，強(qiáng)調(diào)SSL(加密套接字協(xié)議層)證書(shū)對(duì)于不合格擴(kuò)展的內(nèi)部域名的重要性。什么是一個(gè)不合格擴(kuò)展的域名呢?它會(huì)帶來(lái)哪些風(fēng)險(xiǎn)?為什么ICANN認(rèn)為SSL證書(shū)可以防御這個(gè)風(fēng)險(xiǎn)呢?
站在用戶(hù)的角度思考問(wèn)題，與客戶(hù)深入溝通，找到郾城網(wǎng)站設(shè)計(jì)與郾城網(wǎng)站推廣的解決方案，憑借多年的經(jīng)驗(yàn)，讓設(shè)計(jì)與互聯(lián)網(wǎng)技術(shù)結(jié)合，創(chuàng)造個(gè)性化、用戶(hù)體驗(yàn)好的作品，建站類(lèi)型包括：成都做網(wǎng)站、成都網(wǎng)站制作、成都外貿(mào)網(wǎng)站建設(shè)、企業(yè)官網(wǎng)、英文網(wǎng)站、手機(jī)端網(wǎng)站、網(wǎng)站推廣、域名申請(qǐng)、網(wǎng)頁(yè)空間、企業(yè)郵箱。業(yè)務(wù)覆蓋郾城地區(qū)。
DNS(域名系統(tǒng))是用于命名連接到Internet的計(jì)算機(jī)、服務(wù)器和任意其它資源的系統(tǒng)。比如www.mycompany.com這個(gè)主機(jī)名是由三個(gè)DNS標(biāo)簽組成的：“www”是本地主機(jī)名，“mycompany”是二級(jí)域名，“.com”是頂級(jí)域名。當(dāng)一個(gè)主機(jī)名的所有標(biāo)簽都是明確指定，并且至少有一個(gè)公共路由的IP地址與其相關(guān)聯(lián)時(shí)，這個(gè)主機(jī)名就是完全合格的域名。主機(jī)名“www.mycompany.com”可以通過(guò)本地主機(jī)文件或一個(gè)DNS解析程序翻譯成一個(gè)IP地址。
組織通常會(huì)用一些不合格的域名，如“郵件”、“維基”、“交換”等詞，在他們的本地網(wǎng)絡(luò)上來(lái)識(shí)別機(jī)器，這樣用戶(hù)通過(guò)輸入組織內(nèi)部資源的簡(jiǎn)短名稱(chēng)就可以搜索到該組織。這些人類(lèi)可識(shí)別的本地主機(jī)名相對(duì)于IP地址來(lái)說(shuō)也更容易記憶和識(shí)別。如果這些主機(jī)沒(méi)有一個(gè)公網(wǎng)IP地址，他們就被視為沒(méi)有合格的域名。
電子前沿基金會(huì)(EFF)發(fā)現(xiàn)，CA(證書(shū)授權(quán)中心)為數(shù)以千計(jì)的用于在本地企業(yè)網(wǎng)絡(luò)中識(shí)別機(jī)器的常見(jiàn)不合格域名簽發(fā)了合法證書(shū)。這樣就造成了一個(gè)安全問(wèn)題，因?yàn)楣_(kāi)可信的CA頒發(fā)的數(shù)字證書(shū)是意味著該主機(jī)名可以唯一識(shí)別整個(gè)因特網(wǎng)中的一個(gè)資源，而這些不合格的域名不是唯一的，任何人都可能獲得一個(gè)認(rèn)證https://mail或https://wiki的證書(shū)。
如果一個(gè)攻擊者獲得了不合格域名“郵件”的證書(shū)，那么這個(gè)證書(shū)就可以在瀏覽器或者操作系統(tǒng)信任存儲(chǔ)中鏈接到一個(gè)CA中心，攻擊者可以將這個(gè)證書(shū)使用在對(duì)一個(gè)叫“郵件”的內(nèi)部網(wǎng)絡(luò)中的任意郵件服務(wù)器的中間人攻擊中，這個(gè)證書(shū)就是一個(gè)完美的身份偽造。攻擊者和服務(wù)器的連接看起來(lái)是很正常的，而且證書(shū)檢查會(huì)顯示攻擊者的證書(shū)是由一個(gè)公開(kāi)可信的CA或者私人企業(yè)范圍的CA所發(fā)行。
由于各種CA中心同樣為內(nèi)部域名簽發(fā)了一些不合格的擴(kuò)展名，這個(gè)問(wèn)題就變得更糟糕了。例如，“.corp”的域名擴(kuò)展已經(jīng)用于很多私人企業(yè)網(wǎng)絡(luò)內(nèi)部，但是“.corp”這個(gè)擴(kuò)展名目前正被考慮未來(lái)作為一個(gè)gTLD(通用頂級(jí)域名)。如果新的gTLD開(kāi)始運(yùn)作，那么之前為“.corp”所頒發(fā)的證書(shū)還有其它新的gTLD就可以從真正的域名重定向到一個(gè)用戶(hù)。
為了解決這個(gè)問(wèn)題，CA/B論壇，一個(gè)證書(shū)授權(quán)中心和Web瀏覽器生產(chǎn)商組織,要求他們的CA成員不再向2015年11月1日之前到期的內(nèi)部服務(wù)器名字頒發(fā)類(lèi)似新的證書(shū)。2016年10月1號(hào)，所有CA中心預(yù)期將撤銷(xiāo)剩下的仍在有效期的所有這類(lèi)內(nèi)部服務(wù)器域名證書(shū)，永久停用此類(lèi)證書(shū)。但是直到2016年10月，新的gTLD仍存在潛在漏洞。
企業(yè)管理員可以通過(guò)不使用不合格證書(shū)訪問(wèn)內(nèi)部資源來(lái)打擊中間人攻擊帶來(lái)的風(fēng)險(xiǎn)。例如，一個(gè)郵件服務(wù)器只能通過(guò)完全合格域名https://mail. mycompany.com/來(lái)訪問(wèn)，而不能通過(guò)https://mail/.來(lái)訪問(wèn)。企業(yè)發(fā)行證書(shū)應(yīng)該使用它們自己私人的CA中心，如微軟證書(shū)服務(wù)器，不應(yīng)該為不合格域名和私人的，不可路由的IP地址簽發(fā)證書(shū)，并應(yīng)該撤銷(xiāo)現(xiàn)有的這類(lèi)不合格證書(shū)。
網(wǎng)頁(yè)題目：不合格域名會(huì)導(dǎo)致中間人攻擊嗎?
網(wǎng)頁(yè)鏈接：http://www.5511xx.com/article/ccodgdd.html
