Como posso ter certeza de que recebo uma resposta autêntica de um endereço IP solicitado?

Question

Normalmente, você faz um login no seu provedor usando as credenciais de usuário fornecidas. Em seguida, você recebe um endereço IP e obtém acesso a seus servidores de nomes internos, para que você possa solicitar um determinado nome de domínio e obter um endereço IP em resposta.

Mas como posso ter certeza de que recupero o site que estou solicitando? Como posso ter certeza de que meu ISP não está fingindo IPs ou que eles não estão me redirecionando para "servidores internos falsos" (com ou sem um endereço IP idêntico)? Por exemplo: Se eu pedir example.com, obtenha seu IP e eles me mostrarão um clone simples desse site ..

Como se garante que um IP só exista uma vez? É possível alterar o IP do localhost para outra coisa, então o que garante que isso não esteja acontecendo com endereços da web?

É claro: se o ISP falsificasse o destino, outros usuários também seriam afetados, se solicitassem o mesmo resultado. Mas, mesmo neste caso: não será possível filtrar os usuários por suas credenciais de ISP e seqüestrá-los?

Provavelmente, há algum tipo de desentendimento na minha maneira de entender. Mas eu não entendo o que estou perdendo.

    

Answer 1

Sim, o DNS é inseguro. Se você realmente quer saber que está falando com o servidor que queria, você deve autenticar o servidor. Então é isso que fazemos. Não confiamos que o DNS seja seguro e implementamos a segurança de que precisamos em outro lugar, como o TLS (Transport-Layer Security).

O TLS (a moderna camada de segurança do HTTPS) faz isso forçando o servidor a enviar ao cliente um certificado indicando o nome do servidor e a chave pública. Esse certificado é criptograficamente assinado por uma terceira parte confiável, chamada Autoridade de Certificação (CA). A assinatura da AC confirma que o certificado mostra a chave pública correta para o servidor nomeado.

Para provar que o servidor é o legítimo proprietário do certificado (e não algum impostor que roubou um certificado válido), o handshake TLS prova que ele conhece a chave privada secreta que forma um conjunto correspondente com a chave pública no cert. Isso é feito sem revelar a própria chave privada, é claro.

Existe uma proposta para proteger o DNS chamado DNSsec, mas ele está funcionando há anos e nunca parece ir a lugar nenhum. Pode nunca se tornar amplamente implantado. Existe agora uma proposta para "DNS sobre HTTP" (DoH, pronunciado "D'oh!") Que poderia proteger o DNS fazendo-o por HTTPS.

    

Answer 2

Muitas perguntas aqui. Vou tentar enfrentar um casal.

But how can I be sure that I retrieve the actual site I am asking for? How can I be sure that my ISP is not faking IPs or that they are not redirecting me to "faked internal servers" (with or without an identical ip address)? For example: If I ask for example.com, get its IP and they show me a simple clone of that site..

Então, isso é chamado de ataque man-in-the-middle ( link ) . A má notícia é que eles são bastante comuns (pelo menos em hotéis e outros lugares com wi-fi aberto, embora também seja difícil de provar, - link ). Mas uma forma de salvaguardar é não utilizar o servidor DNS do hotel (ou, no seu caso, do seu ISP). Há alguns bons por aí: link

Eu ficaria surpreso se um ISP respeitável fizer isso (e for pego), mas usar seu próprio DNS (mais uma vez, você ainda confia em alguém) e / ou uma VPN sempre que não estiver na rede doméstica é uma boa ideia.