A moins d'essayer en force brute toutes les possibilités d'entrées DNS, ZMAP n'a aucune chance de tomber sur abcdefghijkl123.mondomaine.com si celui ci n'est pas référencé ailleurs que sur les DNS.
Faux.
Si ce domaine héberge un VPN, il devrait obligatoirement présenté un certificat contenant abcdefghijkl123.mondomaine.com, sous peine de casser l’authentification côté client.
Et donc se fera dégommer par ZMap.
Si ce domaine héberge du HTTPS, bien que ça ne soit pas obligatoire, il y a de forte chance d’y trouver aussi un certificat avec le nom réel de la machine en SubjectName et la liste de tous les domaines servis en SubjectAltName, ne serait-ce que pour éviter une erreur flippante si un client se connecte directement dessus. C’est par exemple le cas chez CloudFlare.
A noter cependant qu'il ne s'agit pas de "mon" installation. Si je devais faire du DNSSEC, je le ferai très probablement via CloudFlare aujourd'hui. Principalement parce qu’ils ont réussi a encaisser de grosses attaques sur DNSSEC sans s'effondrer.
Non, ils indiquent juste qu’effectivement avec de la puissance de frappe on peut énumérer les domaines d’un serveur, et que ECDSA permettrait de minimiser la taille des réponses donc les facteurs d’amplification si ton résolveur DNS sert de vecteur d’attaque DDOS (et non s’il est la cible finale).
Donc ça sera strictement la même chose si tu avais ton propre serveur DNSSec autorité (qui plus est non résolveur pour ne pas pouvoir servir de vecteur d’attaque).
[^] # Re: Juste pour compléter la liste
Posté par Aeris (site web personnel) . En réponse au journal L'avenir de la sécurité de nos sites oueb : DNSSEC / HPKP / DANE TLSA / CSP. Évalué à 0. Dernière modification le 11 janvier 2016 à 17:43.
Faux.
Si ce domaine héberge un VPN, il devrait obligatoirement présenté un certificat contenant abcdefghijkl123.mondomaine.com, sous peine de casser l’authentification côté client.
Et donc se fera dégommer par ZMap.
Si ce domaine héberge du HTTPS, bien que ça ne soit pas obligatoire, il y a de forte chance d’y trouver aussi un certificat avec le nom réel de la machine en SubjectName et la liste de tous les domaines servis en SubjectAltName, ne serait-ce que pour éviter une erreur flippante si un client se connecte directement dessus. C’est par exemple le cas chez CloudFlare.
SubjectName = CN=ssl277212.cloudflaressl.com
SubjectAltName =
DNS:ssl277212.cloudflaressl.com, DNS:.anglospizza.com, DNS:.bouncyballs.org, DNS:.bursleyburslem.com, DNS:.businessownersideacafe.com, DNS:.coordinatescollection.com.au, DNS:.daanindianfoodonline.com, DNS:.delhi2go-online.co.uk, DNS:.elearnapp.com, DNS:.ellieclothing.com, DNS:.flamesnewcastle.co.uk, DNS:.indianatakeaway.com, DNS:.korben.info, DNS:.lighthousebanff.com, DNS:.mamamia-crewe.com, DNS:.marinosonline.co.uk, DNS:.no1chinesetakeawaykirkcaldy.co.uk, DNS:.p2pchange.is, DNS:.pizza-parlour.co.uk, DNS:.pizzaworld-basingstoke.com, DNS:.predictableprofits.com, DNS:.ricekungfuonline.co.uk, DNS:.rootofspice.com, DNS:.seriesblog.tv, DNS:.thegreenroomjazzcafeonline.co.uk, DNS:.tulipwokonline.com, DNS:.warungbumbuonline.co.uk, DNS:anglospizza.com, DNS:bouncyballs.org, DNS:bursleyburslem.com, DNS:businessownersideacafe.com, DNS:coordinatescollection.com.au, DNS:daanindianfoodonline.com, DNS:delhi2go-online.co.uk, DNS:elearnapp.com, DNS:ellieclothing.com, DNS:flamesnewcastle.co.uk, DNS:indianatakeaway.com, DNS:korben.info, DNS:lighthousebanff.com, DNS:mamamia-crewe.com, DNS:marinosonline.co.uk, DNS:no1chinesetakeawaykirkcaldy.co.uk, DNS:p2pchange.is, DNS:pizza-parlour.co.uk, DNS:pizzaworld-basingstoke.com, DNS:predictableprofits.com, DNS:ricekungfuonline.co.uk, DNS:rootofspice.com, DNS:seriesblog.tv, DNS:thegreenroomjazzcafeonline.co.uk, DNS:tulipwokonline.com, DNS:warungbumbuonline.co.uk
Non, ils indiquent juste qu’effectivement avec de la puissance de frappe on peut énumérer les domaines d’un serveur, et que ECDSA permettrait de minimiser la taille des réponses donc les facteurs d’amplification si ton résolveur DNS sert de vecteur d’attaque DDOS (et non s’il est la cible finale).
Donc ça sera strictement la même chose si tu avais ton propre serveur DNSSec autorité (qui plus est non résolveur pour ne pas pouvoir servir de vecteur d’attaque).