Рекомендуется ли иметь продукт, который требует LLMNR или mDNS?

Вопрос или проблема

Я пытаюсь разобраться в наилучшем способе управления сертификатами безопасности для встраиваемых устройств, веб-страница которых доступна по IP-адресу, а затем в сценарии, когда этот IP-адрес меняется.

В настоящее время я создаю закрытый ключ RSA, чтобы подписать доверенный корневой сертификат, который устанавливаю в кеш доверенных корневых сертификатов локального ПК, а затем создаю сертификат и ключ, которые устанавливаются на встраиваемом устройстве. Это, очевидно, не идеальное решение; это было просто решение для проверки концепции, что наши устройства действительно могут обрабатывать дополнительные задачи шифрования/расшифровки.

Сертификат подписи и сертификат, установленный на плате, оба привязаны к одному и тому же IP-адресу, поэтому, когда этот IP изменяется, это, очевидно, вызывает недовольство у браузера.

Итак, некоторые варианты, которые я нашел до сих пор, включают изменение файла hosts на локальной машине, чтобы сопоставить имя хоста с любым IP, но это будет означать изменения на каждом отдельном ПК, чтобы внести эту правку, и обновление каждый раз, когда изменяется IP-адрес.

Затем я нашел LLMNR и mDNS (которые я еще полностью не понимаю), которые позволят нам разрешать имя хоста или hostname.local. Однако большинство того, что я могу найти в Интернете о этих двух протоколах, это статьи, объясняющие, почему вы должны полностью отключить оба. Это подводит меня к моему вопросу… стоит ли вообще это дальше изучать? Будут ли ИТ-отделы рассматривать возможность разрешения этих протоколов, предположим, что они знают достаточно, чтобы отключить их?

Это зависит от того, кто является аудиторией этого продукта – но большинство корпоративных сетей, которые заботятся о безопасности, отключат LLMNR и mDNS, так что если вы предполагаете, что они будут включены, то это станет проблемой.

И, как правило, системные администраторы не любят включать подобные вещи без очень веской причины. Поэтому, если вы нацелены на корпоративный рынок, я бы искал альтернативный способ достижения своих целей, который не зависел бы от них.

Ответ или решение

Вопрос о целесообразности использования LLMNR (Link-Local Multicast Name Resolution) или mDNS (Multicast Domain Name System) в контексте управления безопасностью сертификатов для встроенных устройств действительно требует тщательного анализа. В данной ситуации вы сталкиваетесь с проблемой изменения IP-адресов устройств и необходимостью использования сертификатов для шифрования, что в свою очередь накладывает определенные требования к механизму разрешения имен.

Факты
LLMNR и mDNS являются протоколами, позволяющими осуществлять автоматическое разрешение имен внутри локальных сетей. LLMNR используется в основном в Windows-системах, тогда как mDNS поддерживается в большей степени на платформах Apple и UNIX. Оба протокола могут помочь в разрешении имен устройств, особенно в ситуациях, когда динамические IP-адреса являются нормой. Однако, как вы правильно заметили, существует значительная критика в адрес этих протоколов с точки зрения безопасности, и многие администраторы отключают их по умолчанию.

Эмоции
Решение о внедрении LLMNR или mDNS вызывает у многих специалистов в области безопасности настороженность. Эти протоколы могут создать дополнительные уязвимости, так как они позволяют устройствам анонимно взаимодействовать и разрешать имена без централизованного управления. При этом результатом могут стать атаки, направленные на перехват данных или подмену устройств. В большей части корпоративных сетей безопасность имеет первоочередное значение, и администраторы будут не только осведомлены о рисках, но и стремиться минимизировать любые потенциальные угрозы.

Решения
С учетом вышеизложенного, стоит рассмотреть другие подходы к решению проблемы динамических IP-адресов без полагания на LLMNR или mDNS. Вот несколько альтернативных вариантов:

Использование статических IP-адресов: Если возможно, фиксируйте IP-адреса ваших устройств. Это не всегда подходит, особенно для больших сетей с высоким числом устройств, но дает наибольшую предсказуемость.
DHCP с динамической регистрацией имен: Убедитесь, что ваш DHCP-сервер поддерживает динамическую регистрацию DNS, что позволяет автоматически обновлять записи DNS при изменении IP-адреса.
VPN и DNS-аргументы: Рассмотрите возможность использования виртуальных частных сетей (VPN) и специализированных DNS-решений, которые могут обеспечить более безопасное разрешение имен в вашей сети.

Сравнение
Выводы по вопросам целесообразности использования LLMNR и mDNS можно свести к следующему: если ваша аудитория в основном состоит из корпоративных IT-отделов, то внедрение этих протоколов может вызвать сопротивление ввиду их отключения из соображений безопасности. На рынке, где безопасность и контроль информации играют ключевую роль, лучше опираться на альтернативные решения, которые бы устраняли риски без лишних затрат на управление сетевыми протоколами.

Тренды
С учетом текущих тенденций в области кибербезопасности, есть необходимость в создании надежных и безопасных способах управления сертификатами для динамических IP-адресов. Использование более устойчивых к атакам решений, таких как сертификаты, привязанные к фиксированным DNS-именам и использующие централизованное управление и распределение, будет более говорится с точки зрения надежности и управления сетевыми ресурсами.

Итог
Таким образом, хотя LLMNR и mDNS имеют свои преимущества, целесообразность их внедрения весьма сомнительна с учетом аскетизма корпоративных сетей в отношении безопасности. Расширяясь на рынке, лучше фокусироваться на более стойких решения по управлению сертификатами и разрешению имен, что повысит как безопасность, так и доверие ваших клиентов.