Tu te connecte à ce que tu veux - la validation du VPN ce fait après.
La validation du VPN se fait à l’établissement de la connexion.
Tu ne peux pas te connecter à un VPN qui présenterait un certificat invalide pour le domaine auquel tu te connectes.
La plupart des systèmes VPN utilisent un certificat X509 - mais il est rarissime qu'il y ait une architecture PKI derrière.
T’as pas besoin d’une PKI au sens littéral du terme, mais tu as a minima besoin d’une CA qui puisse émettre les certificats clients et serveurs, que l’un et l’autre puisse
De toutes façons la première étape de quasiment tous les VPN est de créer un tunnel puis de faire la validation par ce tunnel.
Totalement faux. Ça serait même du délire au niveau sécurité, puisque tu pourrais te prendre un bon gros MitM dans la tronche sans rien pouvoir détecter.
Si tu veux être en sécurité, tu dois valider AVANT l’établissement du tunnel sécurisé que tu discutes avec la bonne personne.
Tout ce qui se passe dans le tunnel est déjà privé.
Non, pas si tu n’as pas validé AVANT l’établissement du tunnel que tu discutais avec la bonne personne et qu’il n’y avait pas un attaquant sur ta ligne qui pourrait alors lire l’intégralité de tes communications.
J'ai des VPN vers des domaines locaux, à savoir tu te connectes au VPN par IP ou par un DN classique, mais une fois le VPN monté ta carte virtuelle est sur mondomaine.local. Le certificat signe mondomaine.local et c'est le seul certif que le client valide.
Donc ZMAP ne peut rien faire.
Si ton certificat contient mondomaine.local, alors mondomaine.local ne sera pas privé et sera détecté par ZMap.
Cf démonstration précédente, ce certificat leakera bien gentillement au passage de ZMap.
[^] # Re: Juste pour compléter la liste
Posté par Aeris (site web personnel) . En réponse au journal L'avenir de la sécurité de nos sites oueb : DNSSEC / HPKP / DANE TLSA / CSP. Évalué à 0.
La validation du VPN se fait à l’établissement de la connexion.
Tu ne peux pas te connecter à un VPN qui présenterait un certificat invalide pour le domaine auquel tu te connectes.
T’as pas besoin d’une PKI au sens littéral du terme, mais tu as a minima besoin d’une CA qui puisse émettre les certificats clients et serveurs, que l’un et l’autre puisse
Totalement faux. Ça serait même du délire au niveau sécurité, puisque tu pourrais te prendre un bon gros MitM dans la tronche sans rien pouvoir détecter.
Si tu veux être en sécurité, tu dois valider AVANT l’établissement du tunnel sécurisé que tu discutes avec la bonne personne.
Non, pas si tu n’as pas validé AVANT l’établissement du tunnel que tu discutais avec la bonne personne et qu’il n’y avait pas un attaquant sur ta ligne qui pourrait alors lire l’intégralité de tes communications.
Si ton certificat contient mondomaine.local, alors mondomaine.local ne sera pas privé et sera détecté par ZMap.
Cf démonstration précédente, ce certificat leakera bien gentillement au passage de ZMap.