{"id":34921,"date":"2019-10-31T22:01:17","date_gmt":"2019-10-31T19:01:17","guid":{"rendered":"https:\/\/prohoster.info\/blog\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas\/"},"modified":"2019-10-31T22:01:17","modified_gmt":"2019-10-31T19:01:17","slug":"est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","title":{"rendered":"Es gibt die Meinung: Die DANE-Technologie f\u00fcr Browser ist gescheitert","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Lassen Sie uns dar\u00fcber sprechen, was die DANE-Technologie f\u00fcr die Authentifizierung von Domainnamen \u00fcber DNS ist und warum sie in Browsern nicht weit verbreitet ist.<\/p>\n

\"Es<\/a><\/noindex><\/a><\/noindex>
\n\/ Unsplash \/ Paulius Dragunas<\/a><\/noindex><\/i><\/p>\n

Was ist DANE<\/h2>\n

\nZertifizierungsstellen (CA) sind Organisationen, die sich mit<\/a><\/noindex> der Validierung von Krypto SSL-Zertifikaten<\/a><\/noindex>. Sie setzen ihre elektronische Unterschrift auf diese Zertifikate und best\u00e4tigen deren Echtheit. Allerdings gibt es manchmal Situationen, in denen Zertifikate unter Verst\u00f6\u00dfen ausgestellt werden. Zum Beispiel leitete Google im vergangenen Jahr ein \"Verfahren zur K\u00fcndigung des Vertrauens\" in die Zertifikate von Symantec ein, aufgrund ihrer Kompromittierung (wir haben diese Geschichte ausf\u00fchrlich in unserem Blog behandelt \u2014 eins<\/a><\/noindex> und zwei<\/a><\/noindex>).<\/p>\n

Um solche Situationen zu vermeiden, begann die IETF vor einigen Jahren damit, die<\/a><\/noindex> DANE-Technologie zu entwickeln (aber sie hat in Browsern nicht weit verbreitet Fu\u00df gefasst \u2013 warum das so ist, dar\u00fcber sprechen wir weiter).<\/p>\n

DANE (DNS-basierte Authentifizierung von benannten Entit\u00e4ten) ist eine Sammlung von Spezifikationen, die es erm\u00f6glichen, DNSSEC (Name System Security Extensions) zur Kontrolle der G\u00fcltigkeit von SSL-Zertifikaten zu nutzen. DNSSEC ist eine Erweiterung des Domain Name Systems, die Angriffe auf Adress\u00fcbertragungen minimiert. Unter Verwendung dieser beiden Technologien kann der Webseitenbetreiber oder der Client einen der DNS-Zonenbetreiber kontaktieren und die G\u00fcltigkeit des verwendeten Zertifikats best\u00e4tigen.<\/p>\n

Im Grunde fungiert DANE als selbstsigniertes Zertifikat (garantiert durch DNSSEC) und erg\u00e4nzt die Funktionen der CA.<\/p>\n

Die DANE-Spezifikation ist in<\/h2>\n

\nDie DANE-Spezifikation ist in RFC6698<\/a><\/noindex>beschrieben. Laut diesem Dokument wurde in den DNS-Ressourcendatens\u00e4tzen<\/a><\/noindex> ein neuer Typ hinzugef\u00fcgt \u2013 TLSA. Dieser enth\u00e4lt Informationen \u00fcber das \u00fcbertragene Zertifikat, die Dimension und den Typ der \u00fcbertragenden Daten sowie die Daten selbst. Der Webseitenbetreiber erstellt einen digitalen Fingerabdruck des Zertifikats, signiert ihn mit DNSSEC und platziert ihn in TLSA.<\/p>\n

Der Client verbindet sich mit der Webseite im Internet und vergleicht ihr Zertifikat mit der \"Kopie\", die vom DNS-Betreiber erhalten wurde. Wenn sie \u00fcbereinstimmen, wird die Ressource als vertrauensw\u00fcrdig angesehen.<\/p><\/blockquote>\n

\nAuf der Wiki-Seite zu DANE wird folgendes Beispiel f\u00fcr eine DNS-Anfrage an den Server example.org \u00fcber den TCP-Port 443 angegeben:<\/p>\n

IN TLSA _443._tcp.example.org<\/code><\/pre>\n
\nDie Antwort darauf sieht so aus:<\/p>\n
 _443._tcp.example.com. IN TLSA (\n   3 0 0 30820307308201efa003020102020... )\n<\/code><\/pre>\n
\nDANE verf\u00fcgt \u00fcber mehrere Erweiterungen, die mit anderen DNS-Eintr\u00e4gen neben TLSA arbeiten. Der erste ist der DNS-Eintrag SSHFP zur \u00dcberpr\u00fcfung von Schl\u00fcsseln bei SSH-Verbindungen. Er ist in RFC4255<\/a><\/noindex>,\u00a0RFC6594<\/a><\/noindex>\u00a0und\u00a0RFC7479<\/a><\/noindex>. Der zweite ist der Eintrag OPENPGPKEY zum Austausch von Schl\u00fcsseln \u00fcber PGP (RFC7929<\/a><\/noindex>). Schlie\u00dflich gibt es als drittes den Eintrag SMIMEA (im RFC ist der Standard nicht festgelegt, es existiert nur sein Entwurf<\/a><\/noindex>) f\u00fcr den kryptographischen Austausch von Schl\u00fcsseln \u00fcber S\/MIME.<\/p>\n
Was ist das Problem mit DANE<\/h2>\n
\nMitte Mai fand die DNS-OARC-Konferenz statt (eine gemeinn\u00fctzige Organisation, die sich mit Fragen der Sicherheit, Stabilit\u00e4t und Entwicklung des Domainnamensystems besch\u00e4ftigt). In einer der Panels kamen die Experten zu dem Schluss<\/a><\/noindex>, dass die DANE-Technologie in Browsern gescheitert ist (zumindest in der derzeitigen Umsetzungsform). Geoff Huston, der auf der Konferenz anwesend war und leitender Wissenschaftler bei APNIC<\/a><\/noindex>, einem der f\u00fcnf regionalen Internet-Registrierungsstellen, bezeichnete<\/a><\/noindex> DANE als \"tote Technologie\".<\/p>\n
Beliebte Browser unterst\u00fctzen keine Zertifikatsauthentifizierung \u00fcber DANE. Auf dem Markt gibt es spezielle Plugins<\/a><\/noindex>, die die Funktionalit\u00e4t von TLSA-Eintr\u00e4gen enth\u00fcllen, jedoch wird auch deren Unterst\u00fctzung allm\u00e4hlich eingestellt.<\/a><\/noindex>.<\/p><\/blockquote>\n
\nDie Probleme mit der Verbreitung von DANE in Browsern werden mit der langen Validierungsdauer durch DNSSEC in Verbindung gebracht. Das System ist gezwungen, kryptographische Berechnungen zur Best\u00e4tigung der Authentizit\u00e4t des SSL-Zertifikats durchzuf\u00fchren und die gesamte Kette von DNS-Servern (von der Root-Zone bis zur Host-Domain) beim ersten Zugriff auf die Ressource zu durchlaufen.<\/p>\n
\"Es
\n\/ Unsplash \/ Kaley Dykstra<\/a><\/noindex><\/i><\/p>\n
Dieser Nachteil sollte in Mozilla mit dem Mechanismus DNSSEC Chain Extension<\/a><\/noindex> f\u00fcr TLS behoben werden. Dieser sollte die Anzahl der DNS-Eintr\u00e4ge verringern, die der Client w\u00e4hrend der Authentifizierung durchsuchen musste. Allerdings gab es innerhalb der Entwicklergruppe Meinungsverschiedenheiten, die nicht gel\u00f6st werden konnten. Schlie\u00dflich wurde das Projekt eingestellt, obwohl es im M\u00e4rz 2018 vom IETF genehmigt wurde.<\/p>\n
Ein weiterer Grund f\u00fcr die geringe Popularit\u00e4t von DANE ist die schwache Verbreitung von DNSSEC in der Welt \u2014 nur 19 % der Ressourcen arbeiten damit<\/a><\/noindex>. Experten haben festgestellt, dass dies nicht ausreichend f\u00fcr eine aktive F\u00f6rderung von DANE ist.<\/p>\n
Wahrscheinlich wird die Branche sich in eine andere Richtung entwickeln. Anstatt DNS zur Verifizierung von SSL\/TLS-Zertifikaten zu verwenden, werden Marktteilnehmer im Gegensatz dazu DNS-protokolle wie DNS-over-TLS (DoT) und DNS-over-HTTPS (DoH) vorantreiben. Letzteres haben wir in einem unserer fr\u00fcheren Beitr\u00e4ge<\/a><\/noindex> auf Habr\u00e9 erw\u00e4hnt. Sie verschl\u00fcsseln und \u00fcberpr\u00fcfen die Anfragen der Nutzer an den DNS-Server, wodurch Angreifer keine M\u00f6glichkeit haben, die Daten zu manipulieren. Zu Beginn des Jahres wurde DoT bereits eingef\u00fchrt<\/a><\/noindex> Was haben wir sonst noch f\u00fcr zus\u00e4tzliche Lekt\u00fcre:<\/p>\n
Wie man das Management der IT-Infrastruktur automatisiert \u2013 drei Trends werden diskutiert<\/b><\/p>\n
\"Es Wie man das Management der IT-Infrastruktur automatisiert \u2013 wir diskutieren drei Trends<\/a><\/noindex>
\n\"Es JMAP \u2013 ein offenes Protokoll wird IMAP beim Austausch von E-Mails ersetzen<\/a><\/noindex><\/p>\n
\"Es Wie Sie durch die Nutzung von APIs sparen k\u00f6nnen<\/a><\/noindex>
\n\"Es DevOps in der Cloud anhand von 1cloud.ru<\/a><\/noindex>
\n\"Es Die Evolution der Cloud-Architektur von 1cloud<\/a><\/noindex><\/p>\n
\"Es Mythen \u00fcber Cloud-Technologien<\/a><\/noindex>
\n\"Es Wie man ein Proxynetzwerk f\u00fcr das Gesch\u00e4ft ausw\u00e4hlt: 3 praktische Tipps<\/a><\/noindex><\/p><\/blockquote>\n
Quelle: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0413\u043e\u0432\u043e\u0440\u0438\u043c \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u0441\u043e\u0431\u043e\u0439 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f DANE \u0434\u043b\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0434\u043e\u043c\u0435\u043d\u043d\u044b\u0445 \u0438\u043c\u0435\u043d \u043f\u043e DNS \u0438 \u043f\u043e\u0447\u0435\u043c\u0443 \u043e\u043d\u0430 \u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0430 \u0448\u0438\u0440\u043e\u043a\u043e\u0433\u043e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430\u0445. \/ Unsplash \/ Paulius Dragunas \u0427\u0442\u043e \u0442\u0430\u043a\u043e\u0435 DANE \u0421\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0435 \u0446\u0435\u043d\u0442\u0440\u044b (CA) \u2014 \u044d\u0442\u043e \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0437\u0430\u043d\u0438\u043c\u0430\u044e\u0442\u0441\u044f \u0443\u0434\u043e\u0441\u0442\u043e\u0432\u0435\u0440\u0435\u043d\u0438\u0435\u043c \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u0438\u0445 SSL-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432. \u041e\u043d\u0438 \u0441\u0442\u0430\u0432\u044f\u0442 \u043d\u0430 \u043d\u0438\u0445 \u0441\u0432\u043e\u044e \u044d\u043b\u0435\u043a\u0442\u0440\u043e\u043d\u043d\u0443\u044e \u043f\u043e\u0434\u043f\u0438\u0441\u044c, \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u044f \u043f\u043e\u0434\u043b\u0438\u043d\u043d\u043e\u0441\u0442\u044c. \u041e\u0434\u043d\u0430\u043a\u043e \u043f\u043e\u0440\u043e\u0439 \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u044e\u0442 \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u0438, […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":26289,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-34921","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Es gibt die Meinung: Die Technologie DANE f\u00fcr Browser ist gescheitert | ProHoster","description":"Lassen Sie uns dar\u00fcber sprechen, was die DANE-Technologie f\u00fcr die Authentifizierung von Domainnamen \u00fcber DNS ist und warum sie in Browsern nicht weit verbreitet ist.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0415\u0441\u0442\u044c \u043c\u043d\u0435\u043d\u0438\u0435: \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f DANE \u0434\u043b\u044f \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u043e\u0432 \u043f\u0440\u043e\u0432\u0430\u043b\u0438\u043b\u0430\u0441\u044c | ProHoster","og:description":"\u0413\u043e\u0432\u043e\u0440\u0438\u043c \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u0441\u043e\u0431\u043e\u0439 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f DANE \u0434\u043b\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0434\u043e\u043c\u0435\u043d\u043d\u044b\u0445 \u0438\u043c\u0435\u043d \u043f\u043e DNS \u0438 \u043f\u043e\u0447\u0435\u043c\u0443 \u043e\u043d\u0430 \u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0430 \u0448\u0438\u0440\u043e\u043a\u043e\u0433\u043e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430\u0445.","og:url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:01:17+00:00","article:modified_time":"2019-10-31T19:01:17+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"34921","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 21:07:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 02:12:28","updated":"2026-01-21 21:07:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/34921","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=34921"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/34921\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/26289"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=34921"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=34921"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=34921"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}