Фальсификация dns

Клиенты, интенсивно использующие HTTP обмен со службой имен домена (Domain Name Service), обычно предрасположены к атакам, базирующимся на преднамеренном некорректном соответствии IP-адресов и DNS-имен. Клиенты должны быть осторожны относительно предположений, связанных с ассоциаций IP-адресов и DNS-имен.

В частности, клиенту HTTP следует полагаться на сервер имен для подтверждения соответствия IP-адресов и DNS-имен, а не слепо кэшировать результаты предшествующих запросов. Многие платформы могут кэшировать такие запросы локально, и это надо использовать, конфигурируя их соответствующим образом. Такие запросы должны кэшироваться, однако только на период, пока не истекло время жизни этой информации.

Если клиенты HTTP кэшируют результат DNS-запроса для улучшения рабочих характеристик, они должны отслеживать пригодность этих данных с учетом времени жизни, объявляемого DNS-сервером.

Если клиенты HTTP не следуют этому правилу, они могут быть мистифицированы, когда изменится IP-адрес доступного ранее сервера. Так как смена адресов в сетях будет в ближайшее время активно развиваться (IPv6 !), такого рода атаки становятся все более вероятными.

Данное требование улучшает работу клиентов, в том числе с серверами, имеющими идентичные имена.

Заголовки Location и мистификация

Если один сервер поддерживает несколько организаций, которые не доверяют друг другу, тогда он должен проверять значения заголовков Location и ContentLocation в откликах, которые формируются под управлением этих организаций. Это следует делать, чтобы быть уверенным, что они не пытаются провести какие­-либо операции над ресурсами, доступ к которым для них ограничен.

Приложения

1. Интернетовский тип среды message/http

В дополнение к определению протокола HTTP/1.1, данный документ является спецификацией для типов среды Интернет message/http. Ниже приведенный список является официальным для IANA.

Media Type name: message Media subtype name: http Required parameters: none Optional parameters: version, msgtype

version: Номер версии HTTP вложенного сообщения (напр., 1.1). Если отсутствует, номер версии может быть определен по первой строке тела сообщения.

msgtype: Тип сообщения — запроса или отклика. Если отсутствует, тип может быть определен по первой строке тела сообщения.

Соображения кодирования: разрешено только 7bit, 8bit или binary (двоичное).

2. Тип среды Интернет multipart/byteranges

Когда сообщение HTTP содержит несколько фрагментов (например, отклик на запрос нескольких неперекрывающихся фрагментов), они пересылаются как многофрагментное сообщение MIME. Тип среды multipart для этих целей носит название multipart/byteranges.

Тип среды multipart/byteranges содержит в себе две или более части, каждая из которых — со своими полями Content-Type и ContentRange. Отдельные части разделяются с использованием пограничного параметра MIME.

Media Type name: multipart Media subtype name: byteranges Required parameters: boundary Optional parameters: none

Соображения кодирования: разрешено только 7-bit, 8-bit или binary.

Например:

HTTP/1.1 206 Partial content Date: Wed, 15 Nov 1995 06:25:24 GMT Lastmodified: Wed, 15 Nov 1995 04:58:08 GMT Contenttype: multipart/byteranges; boundary=THIS_STRING_SEPARATES—THIS_STRING_SEPARATES Contenttype: application/pdf Contentrange: bytes 500999/8000 ...первый фрагмент… THIS_STRING_SEPARATES Contenttype: application/pdf Contentrange: bytes 70007999/8000 второй фрагмент... THIS_STRING_SEPARATES—