{"id":34921,"date":"2019-10-31T22:01:17","date_gmt":"2019-10-31T19:01:17","guid":{"rendered":"https:\/\/prohoster.info\/blog\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas\/"},"modified":"2019-10-31T22:01:17","modified_gmt":"2019-10-31T19:01:17","slug":"est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","title":{"rendered":"Der er en opfattelse: DANE-teknologien til browsere er fejlet","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Vi taler om, hvad DANE-teknologien til autentificering af dom\u00e6nenavne via DNS handler om, og hvorfor den ikke har opn\u00e5et bred udbredelse i browsere.<\/p>\n

\"Der<\/a><\/noindex><\/a><\/noindex>
\n\/ Unsplash \/ Paulius Dragunas<\/a><\/noindex><\/i><\/p>\n

Hvad er DANE<\/h2>\n

\nCertifikationscentre (CA) er organisationer, som p\u00e5<\/a><\/noindex> yder en kryptografisk SSL certificates<\/a><\/noindex>. De s\u00e6tter deres elektroniske underskrift p\u00e5 dem for at bekr\u00e6fte \u00e6gtheden. Men der opst\u00e5r nogle gange situationer, hvor certifikater udstedes med overtr\u00e6delser. For eksempel indledte Google sidste \u00e5r en 'tillidsoph\u00f8r-procedure' for Symantec-certifikater p\u00e5 grund af deres kompromittering (dette emne har vi d\u00e6kket i vores blog \u2014 en<\/a><\/noindex> og to<\/a><\/noindex>).<\/p>\n

For at undg\u00e5 s\u00e5danne situationer begyndte IETF for flere \u00e5r siden at udvikle<\/a><\/noindex> DANE-teknologien (men den har ikke opn\u00e5et stor udbredelse i browsere \u2014 hvorfor det, vil vi se p\u00e5 senere).<\/p>\n

DANE (DNS-baseret autentificering af navngivne enheder) er et s\u00e6t specifikationer, der g\u00f8r det muligt at bruge DNSSEC (Name System Security Extensions) til at kontrollere \u00e6gtheden af SSL-certifikater. DNSSEC er en udvidelse til dom\u00e6nenavnesystemet, som minimerer angreb relateret til adresseforfalskning. Ved at bruge disse to teknologier kan webstedsejeren eller kunden kontakte en af DNS-zoneoperat\u00f8rerne og bekr\u00e6fte gyldigheden af det anvendte certifikat.<\/p>\n

I bund og grund fungerer DANE som et selvsigneret certifikat (hvis p\u00e5lidelighed garanteres af DNSSEC) og supplerer CA's funktioner.<\/p>\n

Hvordan fungerer det<\/h2>\n

\nDANE-specifikationen er beskrevet i RFC6698<\/a><\/noindex>. If\u00f8lge dokumentet er en ny type blevet tilf\u00f8jet til DNS-resourceposter<\/a><\/noindex> \u2014 TLSA. Den indeholder oplysninger om det overf\u00f8rte certifikat, dimensjon og type af de overf\u00f8rte data samt selve oplysningerne. Webstedsejeren skaber et digitalt fingeraftryk af certifikatet, underskriver det med DNSSEC og placerer det i TLSA.<\/p>\n

Kunden opretter forbindelse til et website p\u00e5 internettet og sammenligner dets certifikat med en 'kopi', modtaget fra DNS-operat\u00f8ren. Hvis de matcher, betragtes ressourcen som betroet.<\/p><\/blockquote>\n

\nP\u00e5 wiki-siden for DANE er f\u00f8lgende eksempel p\u00e5 en DNS-anmodning til serveren example.org over TCP-port 443 angivet:<\/p>\n

IN TLSA _443._tcp.example.org<\/code><\/pre>\n
\nSvaret ser s\u00e5dan ud:<\/p>\n
 _443._tcp.example.com. IN TLSA (\n   3 0 0 30820307308201efa003020102020... )\n<\/code><\/pre>\n
\nDANE har flere udvidelser, der arbejder med andre DNS-poster udover TLSA. Den f\u00f8rste er DNS-posten SSHFP til validering af n\u00f8gler ved SSH-forbindelser. Den er beskrevet i RFC4255<\/a><\/noindex>,\u00a0RFC6594<\/a><\/noindex>\u00a0og\u00a0RFC7479<\/a><\/noindex>. Det andet er en OPENPGPKEY-post til n\u00f8gleudveksling ved hj\u00e6lp af PGP (RFC7929<\/a><\/noindex>). Endelig er det tredje en SMIMEA-post (standarden er ikke formelt udgivet i RFC, der findes kun dens kladde<\/a><\/noindex>) til kryptografisk n\u00f8gleudveksling via S\/MIME.<\/p>\n
Hvad er problemet med DANE<\/h2>\n
\nI midten af maj blev der afholdt en DNS-OARC-konference (en non-profit organisation, der besk\u00e6ftiger sig med sp\u00f8rgsm\u00e5l vedr\u00f8rende sikkerhed, stabilitet og udvikling af dom\u00e6nenavnesystemet). P\u00e5 et af panelerne kom eksperterne til den konklusion<\/a><\/noindex>, at DANE-teknologien i browsere er mislykket (i det mindste i den nuv\u00e6rende implementering). Geoff Huston, den fremtr\u00e6dende forskningschef APNIC<\/a><\/noindex>, en af fem regionale internetregistratorer, mente<\/a><\/noindex> , at DANE er en 'd\u00f8d teknologi'.<\/p>\n
Popul\u00e6re browsere underst\u00f8tter ikke autentificering af certifikater ved hj\u00e6lp af DANE. P\u00e5 markedet findes der specielle plugins<\/a><\/noindex>, der afsl\u00f8rer funktionaliteten af TLSA-poster, men deres st\u00f8tte oph\u00f8rer gradvist<\/a><\/noindex>.<\/p><\/blockquote>\n
\nProblemerne med DANE's udbredelse i browsere knyttes til varigheden af valideringsprocessen gennem DNSSEC. Systemet er tvunget til at udf\u00f8re kryptografiske beregninger for at bekr\u00e6fte \u00e6gtheden af SSL-certifikatet og gennemg\u00e5 hele k\u00e6den af DNS-servere (fra rodzonen til v\u00e6rtsdomenet) ved f\u00f8rste forbindelse til ressourcen.<\/p>\n
\"Der
\n\/ Unsplash \/ Kaley Dykstra<\/a><\/noindex><\/i><\/p>\n
Denne mangel fors\u00f8gte Mozilla at rette op p\u00e5 med mekanismen DNSSEC Chain Extension<\/a><\/noindex> til TLS. Den skulle reducere antallet af DNS-poster, som klienten skulle gennemg\u00e5 under autentificeringen. Imidlertid opstod der uenighed blandt udviklerne, som ikke kunne l\u00f8ses. Projektet blev derfor opgivet, selvom det var blevet godkendt af IETF i marts 2018.<\/p>\n
En anden \u00e5rsag til DANE's lave popularitet anses for at v\u00e6re den lave udbredelse af DNSSEC i verden \u2014 kun 19% af ressourcerne bruger det.<\/a><\/noindex>Eksperter vurderede, at dette ikke er tilstr\u00e6kkeligt til aktivt at fremme DANE.<\/p>\n
Sandsynligvis vil industrien udvikle sig i en anden retning. I stedet for at bruge DNS til at verificere SSL\/TLS-certifikater, vil markedets akt\u00f8rer derimod fremme protokollerne DNS-over-TLS (DoT) og DNS-over-HTTPS (DoH). Den sidste har vi n\u00e6vnt i et af vores tidligere materialer<\/a><\/noindex> p\u00e5 Habr\u00e9. De krypterer og kontrollerer brugerens anmodninger til DNS-serveren og forhindrer angribere i at \u00e6ndre data. I begyndelsen af \u00e5ret har DoT allerede implementeret<\/a><\/noindex> i Google for deres Public DNS. Hvad ang\u00e5r DANE - vil teknologien v\u00e6re i stand til at \"komme tilbage i sadlen\" og virkelig blive udbredt, vil vi se i fremtiden.<\/p>\n
Hvad ellers har vi til yderligere l\u00e6sning:<\/b><\/p>\n
\"Der Hvordan man automatiserer styringen af IT-infrastrukturen - vi diskuterer tre trends<\/a><\/noindex>
\n\"Der JMAP \u2013 den \u00e5bne protokol vil erstatte IMAP ved udveksling af e-mails<\/a><\/noindex><\/p>\n
\"Der Hvordan man sparer penge med en applikationsprogrammeringsgr\u00e6nseflade<\/a><\/noindex>
\n\"Der DevOps i cloud-tjenesten med eksemplet 1cloud.ru<\/a><\/noindex>
\n\"Der Evolutionsarkitektur af 1cloud<\/a><\/noindex><\/p>\n
\"Der S\u00e5dan fungerer teknisk support hos 1cloud<\/a><\/noindex>
\n\"Der Myter om cloud-teknologier<\/a><\/noindex><\/p><\/blockquote>\n
Kilde: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0413\u043e\u0432\u043e\u0440\u0438\u043c \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u0441\u043e\u0431\u043e\u0439 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f DANE \u0434\u043b\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0434\u043e\u043c\u0435\u043d\u043d\u044b\u0445 \u0438\u043c\u0435\u043d \u043f\u043e DNS \u0438 \u043f\u043e\u0447\u0435\u043c\u0443 \u043e\u043d\u0430 \u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0430 \u0448\u0438\u0440\u043e\u043a\u043e\u0433\u043e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430\u0445. \/ Unsplash \/ Paulius Dragunas \u0427\u0442\u043e \u0442\u0430\u043a\u043e\u0435 DANE \u0421\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0435 \u0446\u0435\u043d\u0442\u0440\u044b (CA) \u2014 \u044d\u0442\u043e \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0437\u0430\u043d\u0438\u043c\u0430\u044e\u0442\u0441\u044f \u0443\u0434\u043e\u0441\u0442\u043e\u0432\u0435\u0440\u0435\u043d\u0438\u0435\u043c \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u0438\u0445 SSL-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432. \u041e\u043d\u0438 \u0441\u0442\u0430\u0432\u044f\u0442 \u043d\u0430 \u043d\u0438\u0445 \u0441\u0432\u043e\u044e \u044d\u043b\u0435\u043a\u0442\u0440\u043e\u043d\u043d\u0443\u044e \u043f\u043e\u0434\u043f\u0438\u0441\u044c, \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u044f \u043f\u043e\u0434\u043b\u0438\u043d\u043d\u043e\u0441\u0442\u044c. \u041e\u0434\u043d\u0430\u043a\u043e \u043f\u043e\u0440\u043e\u0439 \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u044e\u0442 \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u0438, […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":26289,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-34921","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Der er en opfattelse: teknologien DANE til browsere er fejlet | ProHoster","description":"Vi taler om, hvad DANE-teknologien til autentificering af dom\u00e6nenavne via DNS handler om, og hvorfor den ikke har opn\u00e5et bred udbredelse i browsere.","canonical_url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"da_DK","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0415\u0441\u0442\u044c \u043c\u043d\u0435\u043d\u0438\u0435: \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f DANE \u0434\u043b\u044f \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u043e\u0432 \u043f\u0440\u043e\u0432\u0430\u043b\u0438\u043b\u0430\u0441\u044c | ProHoster","og:description":"\u0413\u043e\u0432\u043e\u0440\u0438\u043c \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u0441\u043e\u0431\u043e\u0439 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f DANE \u0434\u043b\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0434\u043e\u043c\u0435\u043d\u043d\u044b\u0445 \u0438\u043c\u0435\u043d \u043f\u043e DNS \u0438 \u043f\u043e\u0447\u0435\u043c\u0443 \u043e\u043d\u0430 \u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0430 \u0448\u0438\u0440\u043e\u043a\u043e\u0433\u043e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430\u0445.","og:url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:01:17+00:00","article:modified_time":"2019-10-31T19:01:17+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"34921","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 21:07:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 02:12:28","updated":"2026-01-21 21:07:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/34921","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/comments?post=34921"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/34921\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media\/26289"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media?parent=34921"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/categories?post=34921"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/tags?post=34921"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}