Cloud Strife:减轻域验证证书的安全风险

• 作者: 郭润
• 来源期刊: 中国教育网络
• 年，卷（期）: 2018,（6）
• 所属期刊栏目: 学术论坛
• 页码范围: 41-43
• 页数: 3页
• 字数: 3241字
• 语种: 中文
• DOI: 10.3969/j.issn.1672-9781.2018.06.020

摘要

因其弹性资源分配(如存储、带宽和IP地址)等特点,Amazon Web Service(AWS)和Microsoft Azure等IaaS架构的云平台被普通使用.然而,本文发现,互联网中存在大量的stale DNS域名(如过去曾在云端部署服务,但目前停止了服务,该IP地址已经被释放回云平台),这些DNS记录仍然指向了云平台中的可分配IP地址.攻击者可以向云平台申请并分配到这些IP地址,从而相当于获取了该DNS域名的控制权(Domain Takeover).因此,攻击者可以利用分配到的IP来通过互联网中的一些基于域名的验证系统,如基于域名验证的SSL证书颁发机制,甚至可以进行钓鱼、收发邮件或者通过该域名分发恶意代码等(当第三方从该域名下加载如JS脚本等代码时).本文进一步从时间和花销上,分析了这种获取DNS域名指向的云端IP的实际可行性.在极端条件下,攻击者可以在70秒之内就申请到云端IP并完成攻击.这时间远低于普通的DNS记录TTL值,因而这种攻击可以发生在正常的云端服务迁移过程中(IP被临时释放),使此安全问题导致的攻击面更为广泛.随之,本文提出上述Domain Take问题的解决方案,即将该域名的已有验证加入到新的验证过程中(在新申请证书时,基于申请过的证书进行认证).同时,也针对域名所有者和云平台管理员提供了安全建议.

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	郭润		1	0	0.0	0.0