14.9. Креативное манипулирование запоминанием политики HSTS
Так как компьютер HSTS может выбрать свое имя и субдомен, а эта информация кэшируется в памяти политики HSTS агентов пользователя, имеется возможность для тех, кто контролирует один или более HSTS-компьютеров, кодировать информацию в доменных именах и вынудить такие агенты пользователя кэшировать эту информацию в процессе пометки HSTS-компьютеров. Эта информация может быть извлечена другими компьютерами путем соответствующего конструирования и загрузки web-ресурсов, вынуждая агента пользователя посылать запросы для закодированных доменных имен. Такие запросы могут обнаружить, посещал ли агент пользователя ранее исходный HSTS-компьютер (и соответствующие субдомены).
14.10. Интернационализированные имена доменов
Интернет безопасность базируется отчасти на DNS. Доменные имена используют пользователями для идентификации и подключения к Интернет-компьютерам и другим сетевым ресурсам. Например, Интернет безопасность оказывается скомпрометированной, если пользователь вводящий интернациональное доменное имя (IDN) соединен с различными машинами, использующими разные интерпретации IDN.
Рассматриваемые модели обработки предполагают, что доменные имена, которыми они манипулируют, являются канонизированными IDNA, и что процесс канонизации корректно реализует все соответствующие валидации IDNA и Unicode (напр., как это отмечено в разделе 10 ("Domain Name IDNA-Canonicalization")). Эти шаги необходимы для того чтобы избежать различных потенциально компрометирующих ситуаций.
Короче, примеры ситуаций, которые могут создать преграду из-за нехватки нужных и согласованных валидаций Unicode и IDNA, включают в себя неожиданные исключения обработки, ошибки отбрасывания и переполнение буфера, а также результаты ложно положительной и/или ложно отрицательной сверки доменных имен. Любые выше упомянутые проблемы могут быть использованы атакерами самыми разными путями.
Кроме того, IDNA2008 [RFC-5890] отличается от IDNA2003 [RFC-3490] в терминах запрещенных символов и соответствия символов. Эта ситуация может также вести к ложно позитивной и/или ложно негативной идентификации доменных имен, что может привести, например, к тому, что пользователи могут обмениваться данными с непредусмотренными машинами или не иметь возможности связаться с нужными компьютерами.