Les VPN « corrects » ne font pas de reverse, ou du moins pas obligatoirement.
Je ne te parle pas du reverse (DNS) mais du fait que le certificat (X.509) que va présenter le serveur VPN doit obligatoirement correspondre au domaine que le client a saisi dans son client VPN.
Sinon le certificat présenté est invalide et sera rejeté par le client (OpenVPN par exemple).
Et donc le certificat servit par le serveur X.X.X.X doit forcément contenir le nom de domaine private.example.org si c’est celui-ci qui est utilisé par les clients, que X.X.X.X ait pour reverse DNS private.example.org ou duchmol.foo.bar.
Et donc quand zmap va zmapiser tout IPv4, il tombera sur X.X.X.X, lui demandera bien gentiment son certificat en simulant une connexion OpenVPN, regardera le contenu du champ SubjectName ou SubjectAlternativeName et en déduira que c’est un VPN pour la boîte possédant le domaine example.org ainsi que la présence du champ DNS private.example.org, qui ne sera donc plus du tout privé..
[^] # Re: Juste pour compléter la liste
Posté par Aeris (site web personnel) . En réponse au journal L'avenir de la sécurité de nos sites oueb : DNSSEC / HPKP / DANE TLSA / CSP. Évalué à 2.
Je ne te parle pas du reverse (DNS) mais du fait que le certificat (X.509) que va présenter le serveur VPN doit obligatoirement correspondre au domaine que le client a saisi dans son client VPN.
Sinon le certificat présenté est invalide et sera rejeté par le client (OpenVPN par exemple).
Et donc le certificat servit par le serveur X.X.X.X doit forcément contenir le nom de domaine private.example.org si c’est celui-ci qui est utilisé par les clients, que X.X.X.X ait pour reverse DNS private.example.org ou duchmol.foo.bar.
Et donc quand zmap va zmapiser tout IPv4, il tombera sur X.X.X.X, lui demandera bien gentiment son certificat en simulant une connexion OpenVPN, regardera le contenu du champ SubjectName ou SubjectAlternativeName et en déduira que c’est un VPN pour la boîte possédant le domaine example.org ainsi que la présence du champ DNS private.example.org, qui ne sera donc plus du tout privé..