Tout ça pour dire que mon serveur peut avoir comme reverse truc.chose.tld, comme nom de domaine accédé par le client waouh.super.net, comme domaine cible (IE une fois la connexion VPN établie) un.deux.test et avoir un certificat avec comme DN : CN=tutu, CN=titi, DC=pipo, DC=root - du moment que le certificat est reconnu par le client comme valide pour le domaine cible ça va passer.
Non justement.
Si ton client se connecte au serveur VPN via waouh.super.net (qui résout via le DNS en X.X.X.X et X.X.X.X qui reverse en truc.muche.org), il faut obligatoirement que le certificat soit valide pour ce nom, donc :
soit qu’il possède un /CN=waouh.super.net (ou au moins *.super.net)
soit qu’il possède un SubjectAltName DNS:waouh.super.net (ou au moins *.super.net)
soit qu’il possède un SubjectAltName IP:X.X.X.X
Tout aute valeur de CN ou de SubjectAltName ne validerait pas la connexion.
(/CN=X.X.X.X ne serait pas valide puisque le matching est fait en comparant strictement avec le nom saisi par l’utilisateur, ici waouh.super.net)
La plupart du temps/sur les configs VPN classiques, c’est /CN=waouh.super.net (moins couramment avec en plus SubjectAltName=DNS:waouh.super.net), et donc le domaine waouh.super.net ne peut pas rester caché (même avec un reverse IP qui donne autre chose) et sera détecté par ZMap (scan de la plage IP, passage sur X.X.X.X, récupération du certificat présenté, obtention du CN ou SubjectAltName).
À noter que la CA émmettrice n’a aucun impact ici, ZMap ne cherchera pas à vérifier la validité réelle du certificat et donc en auto-signé, en signé par une root CA connue ou par une root CA interne, le domaine de connexion du VPN leakera dans tous les cas.
[^] # Re: Juste pour compléter la liste
Posté par Aeris (site web personnel) . En réponse au journal L'avenir de la sécurité de nos sites oueb : DNSSEC / HPKP / DANE TLSA / CSP. Évalué à 0. Dernière modification le 11 janvier 2016 à 23:54.
Non justement.
Si ton client se connecte au serveur VPN via waouh.super.net (qui résout via le DNS en X.X.X.X et X.X.X.X qui reverse en truc.muche.org), il faut obligatoirement que le certificat soit valide pour ce nom, donc :
Tout aute valeur de CN ou de SubjectAltName ne validerait pas la connexion.
(/CN=X.X.X.X ne serait pas valide puisque le matching est fait en comparant strictement avec le nom saisi par l’utilisateur, ici waouh.super.net)
La plupart du temps/sur les configs VPN classiques, c’est /CN=waouh.super.net (moins couramment avec en plus SubjectAltName=DNS:waouh.super.net), et donc le domaine waouh.super.net ne peut pas rester caché (même avec un reverse IP qui donne autre chose) et sera détecté par ZMap (scan de la plage IP, passage sur X.X.X.X, récupération du certificat présenté, obtention du CN ou SubjectAltName).
À noter que la CA émmettrice n’a aucun impact ici, ZMap ne cherchera pas à vérifier la validité réelle du certificat et donc en auto-signé, en signé par une root CA connue ou par une root CA interne, le domaine de connexion du VPN leakera dans tous les cas.