Регистрация Войти
Рейтинг:0
Mario avatar Server

Сертификат SNI и заголовок хоста IIS

флаг cn
Mario

Контекст: веб-сайт IIS с настроенным заголовком имени хоста и сертификатом TLS.

Когда клиент инициирует подключение к указанному сайту, это правильный поток?

  • Клиент (браузер) выполняет поиск DNS
  • Установлено TCP-соединение с сервером
  • Клиент (браузер) создает полезную нагрузку TLS, включающую SNI, который является именем сайта, и начинает рукопожатие с сервером.
  • Сервер ищет сертификат с указанным именем в списке сертификатов привязки сайта и отвечает
  • После установки TLS веб-сервер IIS направляет HTTP-запрос на конкретный сайт, используя значение заголовка HOST.

Насколько я понимаю, SNI является базовой информацией для поиска сервером сертификата сайта.

Что произойдет, если после рукопожатия TLS я действительно изменю заголовок HTTP-узла, чтобы настроить таргетинг на другой веб-сайт? Это возможно ?

121
1 + 1
Lex Li avatar
флаг vn
Lex Li
«На самом деле я изменяю заголовок узла HTTP, чтобы настроить таргетинг на другой веб-сайт» — это недостаточно ясно. Спросите себя, где вы можете изменить заголовок хоста, и тогда вы должны увидеть реальную возможность. Обычно вы можете изменить этот заголовок только на стороне браузера, затем вы теряете контроль, поскольку браузер берет его на себя и инициализирует другое соединение TLS с другим сайтом.
0
Ответить
Рейтинг:0
Michael Hampton avatar Server
флаг cz
Michael Hampton

RFC 6066, раздел 11.1 говорит, в частности:

Поскольку клиент может представить другой имя_сервера в протоколе приложения, сервер приложения реализации, которые полагаются на то, что эти имена одинаковы, ДОЛЖНЫ проверьте, не указал ли клиент другое имя в протокол приложения.

Как на самом деле это делают веб-серверы, может различаться. Apache и nginx полностью отвергают такие соединения, хотя, как ни странно, у Apache есть возможность отключить это. Не знаю, что делает IIS, но, надеюсь, в здравом уме. Вы можете легко проверить это самостоятельно.

0 + 3
флаг br
Simon Richter
Предложение «полагаться на то, что эти имена одинаковы» делает здесь большую работу. Достаточно полностью игнорировать имя из SNI и обрабатывать только заголовок `Host:`, чтобы получить соответствующую реализацию, и я ожидаю, что это норма для выделенных шлюзов TLS, где соединение TLS даже не достигает сервера.
0
Ответить
Michael Hampton avatar
флаг cz
Michael Hampton
@SimonRichter Помимо проблем с безопасностью, в этом сценарии HTTP/2 ломается различными и тонкими способами.
0
Ответить
флаг br
Simon Richter
Единственная проблема безопасности заключается в том, что если вы используете SNI для распределения трафика между несколькими машинами, вы можете отправить запрос на машину, на которой не настроено это конкретное имя хоста, что представляет собой довольно низкую угрозу (но наиболее раздражающую для защиты). . Если та же машина завершает TLS и обрабатывает запрос, отбрасывание имени из SNI не подвергает никакой дополнительной поверхности атаки — все, что вы можете сделать, это связаться с хостом, с которым вы также могли бы поговорить, используя правильное имя в SNI.
0
Ответить
флаг Moldova
Admin
Этот вопрос на других языках:

Ответить или комментировать

Большинство людей не понимают, что склонность к познанию нового открывает путь к обучению и улучшает межличностные связи. В исследованиях Элисон, например, хотя люди могли точно вспомнить, сколько вопросов было задано в их разговорах, они не чувствовали интуитивно связи между вопросами и симпатиями. В четырех исследованиях, в которых участники сами участвовали в разговорах или читали стенограммы чужих разговоров, люди, как правило, не осознавали, что задаваемый вопрос повлияет — или повлиял — на уровень дружбы между собеседниками.