Vi taler om, hvad DANE-teknologien til autentificering af domænenavne via DNS handler om, og hvorfor den ikke har opnået bred udbredelse i browsere.
/ Unsplash /
Hvad er DANE
Certifikationscentre (CA) er organisationer, som yder en kryptografisk . De sætter deres elektroniske underskrift på dem for at bekræfte ægtheden. Men der opstår nogle gange situationer, hvor certifikater udstedes med overtrædelser. For eksempel indledte Google sidste år en 'tillidsophør-procedure' for Symantec-certifikater på grund af deres kompromittering (dette emne har vi dækket i vores blog — og ).
For at undgå sådanne situationer begyndte IETF for flere år siden DANE-teknologien (men den har ikke opnået stor udbredelse i browsere — hvorfor det, vil vi se på senere).
DANE (DNS-baseret autentificering af navngivne enheder) er et sæt specifikationer, der gør det muligt at bruge DNSSEC (Name System Security Extensions) til at kontrollere ægtheden af SSL-certifikater. DNSSEC er en udvidelse til domænenavnesystemet, som minimerer angreb relateret til adresseforfalskning. Ved at bruge disse to teknologier kan webstedsejeren eller kunden kontakte en af DNS-zoneoperatørerne og bekræfte gyldigheden af det anvendte certifikat.
I bund og grund fungerer DANE som et selvsigneret certifikat (hvis pålidelighed garanteres af DNSSEC) og supplerer CA's funktioner.
Hvordan fungerer det
DANE-specifikationen er beskrevet i . Ifølge dokumentet er en ny type blevet tilføjet til — TLSA. Den indeholder oplysninger om det overførte certifikat, dimensjon og type af de overførte data samt selve oplysningerne. Webstedsejeren skaber et digitalt fingeraftryk af certifikatet, underskriver det med DNSSEC og placerer det i TLSA.
Kunden opretter forbindelse til et website på internettet og sammenligner dets certifikat med en 'kopi', modtaget fra DNS-operatøren. Hvis de matcher, betragtes ressourcen som betroet.
På wiki-siden for DANE er følgende eksempel på en DNS-anmodning til serveren example.org over TCP-port 443 angivet:
IN TLSA _443._tcp.example.orgSvaret ser sådan ud:
_443._tcp.example.com. IN TLSA (
3 0 0 30820307308201efa003020102020... )
DANE har flere udvidelser, der arbejder med andre DNS-poster udover TLSA. Den første er DNS-posten SSHFP til validering af nøgler ved SSH-forbindelser. Den er beskrevet i , og . Det andet er en OPENPGPKEY-post til nøgleudveksling ved hjælp af PGP (). Endelig er det tredje en SMIMEA-post (standarden er ikke formelt udgivet i RFC, der findes kun ) til kryptografisk nøgleudveksling via S/MIME.
Hvad er problemet med DANE
I midten af maj blev der afholdt en DNS-OARC-konference (en non-profit organisation, der beskæftiger sig med spørgsmål vedrørende sikkerhed, stabilitet og udvikling af domænenavnesystemet). På et af panelerne kom eksperterne , at DANE-teknologien i browsere er mislykket (i det mindste i den nuværende implementering). Geoff Huston, den fremtrædende forskningschef , en af fem regionale internetregistratorer, , at DANE er en 'død teknologi'.
Populære browsere understøtter ikke autentificering af certifikater ved hjælp af DANE. På markedet , der afslører funktionaliteten af TLSA-poster, men deres støtte .
Problemerne med DANE's udbredelse i browsere knyttes til varigheden af valideringsprocessen gennem DNSSEC. Systemet er tvunget til at udføre kryptografiske beregninger for at bekræfte ægtheden af SSL-certifikatet og gennemgå hele kæden af DNS-servere (fra rodzonen til værtsdomenet) ved første forbindelse til ressourcen.
/ Unsplash /
Denne mangel forsøgte Mozilla at rette op på med mekanismen til TLS. Den skulle reducere antallet af DNS-poster, som klienten skulle gennemgå under autentificeringen. Imidlertid opstod der uenighed blandt udviklerne, som ikke kunne løses. Projektet blev derfor opgivet, selvom det var blevet godkendt af IETF i marts 2018.
En anden årsag til DANE's lave popularitet anses for at være den lave udbredelse af DNSSEC i verden — Eksperter vurderede, at dette ikke er tilstrækkeligt til aktivt at fremme DANE.
Sandsynligvis vil industrien udvikle sig i en anden retning. I stedet for at bruge DNS til at verificere SSL/TLS-certifikater, vil markedets aktører derimod fremme protokollerne DNS-over-TLS (DoT) og DNS-over-HTTPS (DoH). Den sidste har vi nævnt i et af vores på Habré. De krypterer og kontrollerer brugerens anmodninger til DNS-serveren og forhindrer angribere i at ændre data. I begyndelsen af året har DoT allerede i Google for deres Public DNS. Hvad angår DANE - vil teknologien være i stand til at "komme tilbage i sadlen" og virkelig blive udbredt, vil vi se i fremtiden.
Hvad ellers har vi til yderligere læsning:
Kilde: habr.com
