Изучаем вопросы интернет безопасности на примере приложения "Парковки Москвы"
В продолжение пятничного поста про использование в Парковках Москвы доменов третьего уровня, указывающих на сервера ОАО "Электронная Москва", однако находящихся вне контроля как самой ЭМ, так и других московских структур, публикую нарытую читателями занимательную информацию. При проверке сертификата на одном из этих доменов выявляется вот такая замечательная вещь:
Сертификат этот принадлежит американской корпорации Eyeline Communications Inc, одному из фигурантов моего большого поста про структуру распила денег на разработке программного обеспечения для АИС Единое Парковочное Пространство.
То есть в приложении Парковки Москвы уже не одна потенциальная дыра в безопасности - контроль над прописанными в коде доменами третьего уровня со стороны анонимного лица в США, а две - контроль за сертификатом на один из этих доменов тоже у иностранной компании. Со вторым доменом все тоже не гладко - выданный на него сертификат является так называемым Domain-validated certificate, то есть выдан без установления личности заявителя на основании наличия у заявителя контроля над доменом. Как мы помним, контроль за доменом был у сотрудника Eyeline Communications Inc Андрея Дерябина, а после анонимизации владельца домена находится у Jon Dow, адрес которого подозрительно совпадает с адресом Eyeline Communications Inc.
То есть Москвы, хоть Электронной, хоть какой, там, судя по всему, нет. И контроля над доменом тоже нет.
И вот теперь вопрос к специалистам - при такой комбинации факторов правильно ли я понимаю, что реализация атаки Man-in-The-Middle на эти серверы со стороны Eyeline Communications Inc путем перенаправления запросов от приложения на другой сервер путем изменения настроек доменов третьего уровня технически возможна?
Вот для наглядности схема текущего положения вещей:
Сертификат этот принадлежит американской корпорации Eyeline Communications Inc, одному из фигурантов моего большого поста про структуру распила денег на разработке программного обеспечения для АИС Единое Парковочное Пространство.
То есть в приложении Парковки Москвы уже не одна потенциальная дыра в безопасности - контроль над прописанными в коде доменами третьего уровня со стороны анонимного лица в США, а две - контроль за сертификатом на один из этих доменов тоже у иностранной компании. Со вторым доменом все тоже не гладко - выданный на него сертификат является так называемым Domain-validated certificate, то есть выдан без установления личности заявителя на основании наличия у заявителя контроля над доменом. Как мы помним, контроль за доменом был у сотрудника Eyeline Communications Inc Андрея Дерябина, а после анонимизации владельца домена находится у Jon Dow, адрес которого подозрительно совпадает с адресом Eyeline Communications Inc.
То есть Москвы, хоть Электронной, хоть какой, там, судя по всему, нет. И контроля над доменом тоже нет.
И вот теперь вопрос к специалистам - при такой комбинации факторов правильно ли я понимаю, что реализация атаки Man-in-The-Middle на эти серверы со стороны Eyeline Communications Inc путем перенаправления запросов от приложения на другой сервер путем изменения настроек доменов третьего уровня технически возможна?
Вот для наглядности схема текущего положения вещей: