Говорим за това какво представлява технологията DANE за удостоверяване на имена на домейни с помощта на DNS и защо тя не се използва широко в браузърите.
/Изпръскване/
Какво е DANE
Сертифициращите органи (CA) са организации, които криптографски сертификат . Те поставят своя електронен подпис върху тях, потвърждавайки тяхната автентичност. Понякога обаче възникват ситуации, когато сертификатите се издават с нарушения. Например миналата година Google започна „процедура за премахване на доверието“ за сертификати на Symantec поради техния компромет (разгледахме тази история подробно в нашия блог - и ).
За да се избегнат подобни ситуации, преди няколко години IETF Технология DANE (но тя не се използва широко в браузърите - ще говорим защо това се случи по-късно).
DANE (DNS-базирано удостоверяване на наименувани обекти) е набор от спецификации, които ви позволяват да използвате DNSSEC (разширения за сигурност на системата за имена), за да контролирате валидността на SSL сертификатите. DNSSEC е разширение на системата за имена на домейни, което свежда до минимум атаките за подправяне на адреси. Използвайки тези две технологии, уеб администратор или клиент може да се свърже с един от операторите на DNS зона и да потвърди валидността на използвания сертификат.
По същество DANE действа като самоподписан сертификат (гарант за неговата надеждност е DNSSEC) и допълва функциите на CA.
Как работи
Спецификацията DANE е описана в . Според документа, в добавен е нов тип - TLSA. Той съдържа информация за сертификата, който се прехвърля, размера и вида на данните, които се прехвърлят, както и самите данни. Уеб администраторът създава цифров отпечатък на сертификата, подписва го с DNSSEC и го поставя в TLSA.
Клиентът се свързва със сайт в Интернет и сравнява неговия сертификат с „копието“, получено от DNS оператора. Ако съвпадат, тогава ресурсът се счита за надежден.
Уики страницата на DANE предоставя следния пример за DNS заявка към example.org на TCP порт 443:
IN TLSA _443._tcp.example.orgОтговорът изглежда така:
_443._tcp.example.com. IN TLSA (
3 0 0 30820307308201efa003020102020... )
DANE има няколко разширения, които работят с DNS записи, различни от TLSA. Първият е SSHFP DNS запис за валидиране на ключове на SSH връзки. Описано е в , и . Вторият е записът OPENPGPKEY за обмен на ключове с помощта на PGP (). И накрая, третият е записът SMIMEA (стандартът не е формализиран в RFC, има ) за обмен на криптографски ключове чрез S/MIME.
Какъв е проблема с DANE
В средата на май се проведе конференцията DNS-OARC (това е организация с нестопанска цел, която се занимава със сигурността, стабилността и развитието на системата за имена на домейни). Експерти на един от панелите че технологията DANE в браузърите се е провалила (поне в сегашната си реализация). Присъства на конференцията Джеф Хюстън, водещ изследовател , един от петте регионални интернет регистратори, за DANE като „мъртва технология“.
Популярните браузъри не поддържат удостоверяване на сертификат с помощта на DANE. На пазара , които разкриват функционалността на TLSA записите, но и тяхната поддръжка .
Проблемите с разпространението на DANE в браузърите са свързани с продължителността на процеса на валидиране на DNSSEC. Системата е принудена да прави криптографски изчисления, за да потвърди автентичността на SSL сертификата и да премине през цялата верига от DNS сървъри (от основната зона до хост домейна), когато се свързва за първи път с ресурс.
/Изпръскване/
Mozilla се опита да премахне този недостатък с помощта на механизма за TLS. Трябваше да намали броя на DNS записите, които клиентът трябваше да търси по време на удостоверяване. В рамките на групата за развитие обаче възникнаха разногласия, които не можаха да бъдат разрешени. В резултат на това проектът беше изоставен, въпреки че беше одобрен от IETF през март 2018 г.
Друга причина за ниската популярност на DANE е ниското разпространение на DNSSEC в света - . Експертите смятат, че това не е достатъчно за активното популяризиране на DANE.
Най-вероятно индустрията ще се развие в друга посока. Вместо да използват DNS за проверка на SSL/TLS сертификати, играчите на пазара вместо това ще насърчават протоколите DNS-over-TLS (DoT) и DNS-over-HTTPS (DoH). Споменахме последното в един от нашите на Хабре. Те шифроват и проверяват потребителските заявки към DNS сървъра, предотвратявайки нападателите да подправят данни. В началото на годината DoT вече беше на Google за неговия публичен DNS. Що се отнася до DANE, дали технологията ще успее да се „върне в седлото“ и все пак да стане широко разпространена, остава да видим в бъдеще.
Какво още имаме за допълнително четене:
Източник: www.habr.com