Razgovaramo o tome šta je DANE tehnologija za autentifikaciju imena domena koristeći DNS i zašto se ne koristi široko u pretraživačima.
/Unsplash/
Šta je DANE
Certifikacijski autoriteti (CA) su organizacije koje kriptografski sertifikat . Na njih su stavili svoj elektronski potpis, potvrđujući njihovu autentičnost. Međutim, ponekad se javljaju situacije kada se potvrde izdaju sa kršenjima. Na primjer, Google je prošle godine pokrenuo “proceduru oduzimanja povjerenja” za Symantec certifikate zbog njihovog kompromisa (detaljno smo obrađivali ovu priču na našem blogu - и ).
Kako bi izbjegli ovakve situacije, prije nekoliko godina je IETF DANE tehnologija (ali se ne koristi široko u pretraživačima - o tome zašto se to dogodilo kasnije ćemo govoriti).
DANE (DNS-based Authentication of Named Entities) je skup specifikacija koji vam omogućava da koristite DNSSEC (Name System Security Extensions) za kontrolu valjanosti SSL certifikata. DNSSEC je proširenje za sistem imena domena koje minimizira napade lažiranja adresa. Koristeći ove dvije tehnologije, webmaster ili klijent može kontaktirati jednog od operatera DNS zone i potvrditi valjanost certifikata koji se koristi.
U suštini, DANE djeluje kao samopotpisani certifikat (garant njegove pouzdanosti je DNSSEC) i dopunjuje funkcije CA.
Kako ovo radi
DANE specifikacija je opisana u . Prema dokumentu, u dodan je novi tip - TLSA. Sadrži informacije o certifikatu koji se prenosi, veličini i vrsti podataka koji se prenose, kao i samim podacima. Webmaster kreira digitalni otisak certifikata, potpisuje ga DNSSEC-om i stavlja ga u TLSA.
Klijent se povezuje sa sajtom na Internetu i upoređuje svoj sertifikat sa „kopijom“ dobijenom od DNS operatera. Ako se podudaraju, onda se resurs smatra pouzdanim.
DANE wiki stranica pruža sljedeći primjer DNS zahtjeva za example.org na TCP portu 443:
IN TLSA _443._tcp.example.orgOdgovor izgleda ovako:
_443._tcp.example.com. IN TLSA (
3 0 0 30820307308201efa003020102020... )
DANE ima nekoliko ekstenzija koje rade sa DNS zapisima koji nisu TLSA. Prvi je SSHFP DNS zapis za provjeru valjanosti ključeva na SSH konekcijama. Opisana je u , и . Drugi je unos OPENPGPKEY za razmjenu ključeva pomoću PGP-a (). Konačno, treći je SMIMEA zapis (standard nije formaliziran u RFC-u, postoji ) za razmjenu kriptografskih ključeva putem S/MIME.
Šta je problem sa DANE-om
Sredinom maja održana je konferencija DNS-OARC (ovo je neprofitna organizacija koja se bavi bezbednošću, stabilnošću i razvojem sistema naziva domena). Stručnjaci na jednom od panela da DANE tehnologija u pretraživačima nije uspjela (barem u trenutnoj implementaciji). Prisutan na konferenciji Geoff Huston, vodeći naučnik istraživanja , jedan od pet regionalnih internet registratora, o DANE-u kao “mrtvoj tehnologiji”.
Popularni pretraživači ne podržavaju provjeru autentičnosti certifikata koristeći DANE. Na tržištu , koji otkrivaju funkcionalnost TLSA zapisa, ali i njihovu podršku .
Problemi sa DANE distribucijom u pretraživačima povezani su sa dužinom DNSSEC procesa validacije. Sistem je primoran da izvrši kriptografske kalkulacije kako bi potvrdio autentičnost SSL sertifikata i prošao kroz ceo lanac DNS servera (od korenske zone do domena domaćina) prilikom prvog povezivanja na resurs.
/Unsplash/
Mozilla je pokušala da otkloni ovaj nedostatak koristeći mehanizam za TLS. Trebalo je smanjiti broj DNS zapisa koje je klijent morao tražiti tokom autentifikacije. Međutim, unutar razvojne grupe došlo je do nesuglasica koje se nisu mogle riješiti. Kao rezultat toga, projekat je napušten, iako ga je IETF odobrio u martu 2018.
Drugi razlog za nisku popularnost DANE-a je niska rasprostranjenost DNSSEC-a u svijetu - . Stručnjaci smatraju da to nije dovoljno za aktivnu promociju DANE-a.
Najvjerovatnije će se industrija razvijati u drugom smjeru. Umjesto da koriste DNS za provjeru SSL/TLS certifikata, tržišni igrači će umjesto toga promovirati DNS-over-TLS (DoT) i DNS-over-HTTPS (DoH) protokole. Potonje smo spomenuli u jednom od naših na Habréu. Oni šifriraju i verificiraju korisničke zahtjeve prema DNS serveru, sprječavajući napadače da lažiraju podatke. Početkom godine DoT je već bio Googleu za svoj javni DNS. Što se tiče DANE-a, da li će tehnologija moći da se „vrati u sedlo“ i da i dalje postane široko rasprostranjena ostaje da se vidi u budućnosti.
Šta još imamo za dalje čitanje:
izvor: www.habr.com