Mluvíme o tom, co je technologie DANE pro autentizaci doménových jmen pomocí DNS a proč se široce neprosadila v prohlížečích.
/ Unsplash /
Co je DANE
Certifikační autority (CA) jsou organizace, které ověřují kryptografické certifikáty. Na ně umisťují svůj elektronický podpis, čímž potvrzují jejich pravost. Někdy však vznikají situace, kdy jsou certifikáty vydávány s porušením pravidel. Například loni Google inicioval "proceduru ukončení důvěry" vůči certifikátům Symantec kvůli jejich kompromitaci (o této historii jsme podrobně psali na našem blogu — a ).
Aby se předešlo takovým situacím, před několika lety v IETF technologii DANE (ale ta se široce neprosadila v prohlížečích — o důvodech později).
DANE (DNS-based Authentication of Named Entities) je soubor specifikací, které umožňují používat DNSSEC (rozšíření zabezpečení systému názvů) pro kontrolu platnosti SSL certifikátů. DNSSEC představuje rozšíření pro systém doménových jmen, které minimalizuje útoky spojené s podvrháním adres. Použitím obou těchto technologií může webmaster nebo klient kontaktovat jednoho z provozovatelů zón DNS a potvrdit platnost použitých certifikátů.
V podstatě DANE funguje jako samopodepsaný certifikát (garantem jeho spolehlivosti je DNSSEC) a doplňuje funkcionalitu CA.
Jak to funguje
Specifikace DANE je popsána v . Podle dokumentu byl do přidán nový typ — TLSA. Ten obsahuje informace o přenášeném certifikátu, jeho velikosti a typu přenášených dat, stejně jako samotná data. Webmaster vytvoří digitální otisk certifikátu, podepíše jej pomocí DNSSEC a umístí do TLSA.
Klient se připojí na web a porovná jeho certifikát s "kopií", kterou získal od operátora DNS. Pokud se shodují, zdroj se považuje za důvěryhodný.
Na wiki stránce DANE je uveden následující příklad DNS dotazu k serveru example.org na TCP portu 443:
IN TLSA _443._tcp.example.orgOdpověď vypadá takto:
_443._tcp.example.com. IN TLSA (
3 0 0 30820307308201efa003020102020... )
DANE má několik rozšíření, která fungují s jinými DNS záznamy kromě TLSA. První je DNS záznam SSHFP pro ověřování klíčů při SSH spojeních. Je popsán v , a . Druhé — záznam OPENPGPKEY pro výměnu klíčů pomocí PGP (). Nakonec třetí — záznam SMIMEA (ve standardu RFC není zpracován, existuje ) pro kryptografickou výměnu klíčů podle S/MIME.
Jaký je problém s DANE
V polovině května se konala konference DNS-OARC (to je nezisková organizace, která se zabývá bezpečnostními, stabilními a rozvojovými otázkami systému doménových jmen). Na jedné z panelových diskuzí odborníci , že technologie DANE v prohlížečích selhala (alespoň v aktuální implementaci). Přítomný na konferenci Geoff Huston, hlavní vědecký pracovník , jednoho z pěti regionálních registrátorů internetu, o DANE jako o „mrtvé technologii“.
Populární prohlížeče nepodporují autentifikaci certifikátů pomocí DANE. Na trhu , které odhalují funkčnost TLSA záznamů, avšak i jejich podpora .
Problémy s rozšířením DANE v prohlížečích se spojují s délkou validačního procesu podle DNSSEC. Systém je nucen provádět kryptografické výpočty pro potvrzení pravosti SSL certifikátu a projít celým řetězcem DNS serverů (od kořenové zóny po doménu hostitele) při prvním připojení k zdroji.
/ Unsplash /
Tento nedostatek se snažili vyřešit v Mozille pomocí mechanismu pro TLS. Měl snížit počet DNS záznamů, které bylo třeba prozkoumat klientem během autentifikace. Avšak uvnitř vývojářské skupiny došlo k neshodám, které nebyly vyřešeny. Nakonec byl projekt opuštěn, ačkoliv byl schválen IETF v březnu 2018.
Dalším důvodem nízké popularity DANE je slabá rozšířenost DNSSEC na světě — . Odborníci dospěli k názoru, že to není dostatečné pro aktivní propagaci DANE.
Je pravděpodobné, že se průmysl bude vyvíjet jiným směrem. Místo toho, aby používal DNS k verifikaci certifikátů SSL/TLS, hráči na trhu naopak budou propagovat protokoly DNS-over-TLS (DoT) a DNS-over-HTTPS (DoH). Ten poslední jsme zmínili v jednom z našich na Habr. Šifrují a kontrolují požadavky uživatelů na DNS servery, čímž zabraňují zločincům ve falešných datových manipulacích. Na začátku roku DoT již v Google pro svůj veřejný DNS. Co se týče DANE — zda se technologii podaří "vrátit se do sedla" a stát se masovou, to ukáže budoucnost.
Co dalšího máme pro doplňkové čtení:
Zdroj: habr.com
