{"id":34921,"date":"2019-10-31T22:01:17","date_gmt":"2019-10-31T19:01:17","guid":{"rendered":"https:\/\/prohoster.info\/blog\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas\/"},"modified":"2019-10-31T22:01:17","modified_gmt":"2019-10-31T19:01:17","slug":"est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","title":{"rendered":"Das OpenBSD-Team hat \u00fcber seinen Twitter-Account bekannt gegeben, dass Smartisan Technology 400.000 Dollar gespendet hat. Diese Spende verleiht den Status \u201eiridium\u201c. Insgesamt war f\u00fcr 2019 ein Betrag von 300.000 Dollar geplant. Bislang wurden \u00fcber 468.000 gesammelt. Den aktuellen Status k\u00f6nnen Sie auf der Seite The OpenBSD Foundation einsehen. Jeder kann seinen Beitrag auf der Seite https:\/\/www.openbsdfoundation.org\/donations.html leisten. Quelle: linux.org.ru","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Wir sprechen \u00fcber die DANE-Technologie zur Authentifizierung von Dom\u00e4nennamen \u00fcber DNS und warum sie in Browsern nicht weit verbreitet ist.<\/p>\n

\"Das<\/a><\/noindex><\/a><\/noindex>
\n\/ Unsplash \/ Paulius Dragunas<\/a><\/noindex><\/i><\/p>\n

Was ist DANE<\/h2>\n

\nZertifizierungsstellen (CA) sind Organisationen, die wird auch von der amerikanischen National Quantum Initiative vorangetrieben.<\/a><\/noindex> Kryptografie-Zertifikate SSL-Zertifikate<\/a><\/noindex>. Sie setzen ihre elektronische Unterschrift auf diese, um die Authentizit\u00e4t zu best\u00e4tigen. Es gibt jedoch Situationen, in denen Zertifikate mit Unregelm\u00e4\u00dfigkeiten ausgestellt werden. So leitete Google im vergangenen Jahr ein Verfahren zur Entziehung des Vertrauens in die Zertifikate von Symantec ein, aufgrund ihrer Kompromittierung (dieses Thema haben wir ausf\u00fchrlich in unserem Blog behandelt \u2014 eins<\/a><\/noindex> und zwei<\/a><\/noindex>).<\/p>\n

Um solche Situationen zu vermeiden, wurde vor einigen Jahren in der IETF mit der Entwicklung<\/a><\/noindex> der DANE-Technologie begonnen (aber sie hat sich in Browsern nicht weit verbreitet \u2014 warum das so ist, werden wir im Folgenden besprechen).<\/p>\n

DANE (DNS-basiertes Authentifizierung von benannten Entit\u00e4ten) ist eine Spezifikation, die es erm\u00f6glicht, DNSSEC (Name System Security Extensions) zur \u00dcberpr\u00fcfung der Authentizit\u00e4t von SSL-Zertifikaten zu verwenden. DNSSEC ist eine Erweiterung des Domain Name Systems, die Angriffe in Verbindung mit Adress\u00fcbernahmen minimiert. Mit diesen beiden Technologien k\u00f6nnen Webadministratoren oder Kunden einen der DNS-Zonenbetreiber kontaktieren und die G\u00fcltigkeit des verwendeten Zertifikats best\u00e4tigen.<\/p>\n

Im Wesentlichen fungiert DANE als selbstsigniertes Zertifikat (mit DNSSEC als Garantie f\u00fcr seine Zuverl\u00e4ssigkeit) und erg\u00e4nzt die Funktionen von CA.<\/p>\n

Wie es funktioniert<\/h2>\n

\nDie Spezifikation DANE ist in RFC6698<\/a><\/noindex>beschrieben. Laut dem Dokument wurde in den DNS-Ressourcendatens\u00e4tzen<\/a><\/noindex> ein neuer Typ \u2013 TLSA \u2013 hinzugef\u00fcgt. Dieser enth\u00e4lt Informationen \u00fcber das \u00fcbertragene Zertifikat, die Gr\u00f6\u00dfe und den Typ der \u00fcbermittelten Daten sowie die Daten selbst. Der Webmaster erstellt einen digitalen Fingerabdruck des Zertifikats, signiert ihn mit DNSSEC und platziert ihn in TLSA.<\/p>\n

Der Client verbindet sich mit der Website im Internet und vergleicht das Zertifikat mit der \"Kopie\", die vom DNS-Betreiber erhalten wurde. Wenn sie \u00fcbereinstimmen, gilt die Ressource als vertrauensw\u00fcrdig.<\/p><\/blockquote>\n

\nAuf der Wiki-Seite zu DANE wird folgendes Beispiel f\u00fcr eine DNS-Anfrage an den Server example.org \u00fcber TCP-Port 443 gegeben:<\/p>\n

IN TLSA _443._tcp.example.org<\/code><\/pre>\n
\nDie Antwort sieht folgenderma\u00dfen aus:<\/p>\n
 _443._tcp.example.com. IN TLSA (\n   3 0 0 30820307308201efa003020102020... )\n<\/code><\/pre>\n
\nDANE bietet mehrere Erweiterungen, die mit anderen DNS-Eintr\u00e4gen neben TLSA funktionieren. Der erste ist der DNS-Eintrag SSHFP zur Validierung von Schl\u00fcsseln bei SSH-Verbindungen. Dieser wird beschrieben in RFC4255<\/a><\/noindex>,\u00a0RFC6594<\/a><\/noindex>\u00a0und\u00a0RFC7479<\/a><\/noindex>. Der zweite ist der Eintrag OPENPGPKEY f\u00fcr den Schl\u00fcssel Austausch \u00fcber PGP (RFC7929<\/a><\/noindex>). Schlie\u00dflich gibt es noch den Eintrag SMIMEA (der Standard ist in RFC nicht dokumentiert, es gibt nur einen Entwurf davon<\/a><\/noindex>) f\u00fcr den kryptografischen Schl\u00fcsselaustausch \u00fcber S\/MIME.<\/p>\n
Was ist das Problem mit DANE?<\/h2>\n
\nMitte Mai fand die DNS-OARC-Konferenz statt (eine gemeinn\u00fctzige Organisation, die sich mit Fragen der Sicherheit, Stabilit\u00e4t und Entwicklung des Domain-Name-Systems besch\u00e4ftigt). Auf einem der Podien kamen die Experten zu dem Schluss<\/a><\/noindex>, dass die DANE-Technologie in Browsern gescheitert ist (zumindest in der aktuellen Implementierung). Geoff Huston, ein f\u00fchrender Wissenschaftler APNIC<\/a><\/noindex>, einer der f\u00fcnf regionalen Internet-Registrare, \u00e4u\u00dferte sich<\/a><\/noindex> zu DANE als \u201etote Technologie\u201c.<\/p>\n
Beliebte Browser unterst\u00fctzen die Authentifizierung von Zertifikaten mit DANE nicht. Auf dem Markt gibt es spezielle Plugins<\/a><\/noindex>, die die Funktionalit\u00e4t von TLSA-Eintr\u00e4gen erschlie\u00dfen, jedoch wird auch deren Unterst\u00fctzung langsam eingestellt.<\/a><\/noindex>.<\/p><\/blockquote>\n
\nDie Probleme mit der Verbreitung von DANE in Browsern stehen im Zusammenhang mit der langen Dauer des Validierungsprozesses \u00fcber DNSSEC. Das System muss kryptografische Berechnungen zur Best\u00e4tigung der Authentizit\u00e4t des SSL-Zertifikats durchf\u00fchren und alle DNS-Server-Pfade (von der Root-Zone bis zur Host-Domain) bei der ersten Verbindung mit der Ressource durchlaufen.<\/p>\n
\"Das
\n\/ Unsplash \/ Kaley Dykstra<\/a><\/noindex><\/i><\/p>\n
Dieser Nachteil wurde in Mozilla mit dem Mechanismus DNSSEC Chain Extension<\/a><\/noindex> f\u00fcr TLS zu beheben versucht. Dieser sollte die Anzahl der DNS-Eintr\u00e4ge verringern, die der Client w\u00e4hrend der Authentifizierung durchsehen musste. Innerhalb der Entwicklergruppe gab es jedoch Uneinigkeit, die nicht beigelegt werden konnte. Schlie\u00dflich wurde das Projekt eingestellt, obwohl es im M\u00e4rz 2018 von der IETF genehmigt wurde.<\/p>\n
Ein weiterer Grund f\u00fcr die geringe Popularit\u00e4t von DANE ist die schwache Verbreitung von DNSSEC weltweit \u2014 nur 19 % der Ressourcen arbeiten damit.<\/a><\/noindex>Experten sch\u00e4tzen, dass dies nicht ausreicht, um DANE aktiv voranzubringen.<\/p>\n
Die Branche wird sich wahrscheinlich in eine andere Richtung entwickeln. Anstatt DNS zur \u00dcberpr\u00fcfung von SSL\/TLS-Zertifikaten zu nutzen, werden Marktakteure vielmehr Protokolle wie DNS-over-TLS (DoT) und DNS-over-HTTPS (DoH) vorantreiben. Letzteres haben wir in einem unserer vorherigen Beitr\u00e4ge<\/a><\/noindex> auf Habr\u00e9 erw\u00e4hnt. Diese Protokolle verschl\u00fcsseln und verifizieren Anfragen der Benutzer an den DNS-Server, wodurch Angreifern die M\u00f6glichkeit genommen wird, die Daten zu manipulieren. Zu Beginn des Jahres hat Google DoT bereits f\u00fcr seinen Public DNS \u00fcbernommen. Was DANE betrifft \u2013 ob die Technologie es schafft, wieder massentauglich zu werden, wird die Zukunft zeigen. wurde implementiert<\/a><\/noindex> in Google f\u00fcr seinen Public DNS. Ob DANE \u2014 die Technologie wieder Fu\u00df fassen und popul\u00e4r werden kann, wird die Zukunft zeigen.<\/p>\n
Was haben wir noch f\u00fcr weiterf\u00fchrende Lekt\u00fcre:<\/b><\/p>\n
\"Das Wie man das Management der IT-Infrastruktur automatisiert \u2014 drei Trends im Fokus<\/a><\/noindex>
\n\"Das JMAP \u2014 ein offenes Protokoll, das IMAP beim Austausch von E-Mails ersetzen wird<\/a><\/noindex><\/p>\n
\"Das Wie man mit einer API Kosten spart<\/a><\/noindex>
\n\"Das DevOps in der Cloud mit dem Beispiel 1cloud.ru<\/a><\/noindex>
\n\"Das Evolution der Cloud-Architektur 1cloud<\/a><\/noindex><\/p>\n
\"Das Wie der technische Support bei 1cloud funktioniert.<\/a><\/noindex>
\n\"Das Mythen \u00fcber Cloud-Technologien<\/a><\/noindex><\/p><\/blockquote>\n
Quelle: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0413\u043e\u0432\u043e\u0440\u0438\u043c \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u0441\u043e\u0431\u043e\u0439 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f DANE \u0434\u043b\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0434\u043e\u043c\u0435\u043d\u043d\u044b\u0445 \u0438\u043c\u0435\u043d \u043f\u043e DNS \u0438 \u043f\u043e\u0447\u0435\u043c\u0443 \u043e\u043d\u0430 \u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0430 \u0448\u0438\u0440\u043e\u043a\u043e\u0433\u043e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430\u0445. \/ Unsplash \/ Paulius Dragunas \u0427\u0442\u043e \u0442\u0430\u043a\u043e\u0435 DANE \u0421\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0435 \u0446\u0435\u043d\u0442\u0440\u044b (CA) \u2014 \u044d\u0442\u043e \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0437\u0430\u043d\u0438\u043c\u0430\u044e\u0442\u0441\u044f \u0443\u0434\u043e\u0441\u0442\u043e\u0432\u0435\u0440\u0435\u043d\u0438\u0435\u043c \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u0438\u0445 SSL-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432. \u041e\u043d\u0438 \u0441\u0442\u0430\u0432\u044f\u0442 \u043d\u0430 \u043d\u0438\u0445 \u0441\u0432\u043e\u044e \u044d\u043b\u0435\u043a\u0442\u0440\u043e\u043d\u043d\u0443\u044e \u043f\u043e\u0434\u043f\u0438\u0441\u044c, \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u044f \u043f\u043e\u0434\u043b\u0438\u043d\u043d\u043e\u0441\u0442\u044c. \u041e\u0434\u043d\u0430\u043a\u043e \u043f\u043e\u0440\u043e\u0439 \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u044e\u0442 \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u0438, […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":26289,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-34921","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Es gibt eine Meinung: Die DANE-Technologie f\u00fcr Browser ist gescheitert | ProHoster","description":"Wir erl\u00e4utern, was die DANE-Technologie zur Authentifizierung von Domainnamen \u00fcber DNS ist und warum sie in Browsern nicht weit verbreitet ist. \/ Unsplash \/ Paulius Dragunas Was ist DANE? Zertifizierungsstellen (CA) sind Organisationen, die sich mit der Validierung kryptographischer SSL-Zertifikate befassen. Sie versehen diese mit ihrer elektronischen Unterschrift zur Best\u00e4tigung der Echtheit. Es gibt jedoch Situationen, in denen...","canonical_url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0415\u0441\u0442\u044c \u043c\u043d\u0435\u043d\u0438\u0435: \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f DANE \u0434\u043b\u044f \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u043e\u0432 \u043f\u0440\u043e\u0432\u0430\u043b\u0438\u043b\u0430\u0441\u044c | ProHoster","og:description":"\u0413\u043e\u0432\u043e\u0440\u0438\u043c \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u0441\u043e\u0431\u043e\u0439 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f DANE \u0434\u043b\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0434\u043e\u043c\u0435\u043d\u043d\u044b\u0445 \u0438\u043c\u0435\u043d \u043f\u043e DNS \u0438 \u043f\u043e\u0447\u0435\u043c\u0443 \u043e\u043d\u0430 \u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0430 \u0448\u0438\u0440\u043e\u043a\u043e\u0433\u043e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430\u0445. \/ Unsplash \/ Paulius Dragunas \u0427\u0442\u043e \u0442\u0430\u043a\u043e\u0435 DANE \u0421\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0435 \u0446\u0435\u043d\u0442\u0440\u044b (CA) \u2014 \u044d\u0442\u043e \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0437\u0430\u043d\u0438\u043c\u0430\u044e\u0442\u0441\u044f \u0443\u0434\u043e\u0441\u0442\u043e\u0432\u0435\u0440\u0435\u043d\u0438\u0435\u043c \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u0438\u0445 SSL-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432. \u041e\u043d\u0438 \u0441\u0442\u0430\u0432\u044f\u0442 \u043d\u0430 \u043d\u0438\u0445 \u0441\u0432\u043e\u044e \u044d\u043b\u0435\u043a\u0442\u0440\u043e\u043d\u043d\u0443\u044e \u043f\u043e\u0434\u043f\u0438\u0441\u044c, \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u044f \u043f\u043e\u0434\u043b\u0438\u043d\u043d\u043e\u0441\u0442\u044c. \u041e\u0434\u043d\u0430\u043a\u043e \u043f\u043e\u0440\u043e\u0439 \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u044e\u0442 \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u0438,","og:url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:01:17+00:00","article:modified_time":"2019-10-31T19:01:17+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"34921","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 21:07:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 02:12:28","updated":"2026-01-21 21:07:19"},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/34921","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=34921"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/34921\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/26289"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=34921"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=34921"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=34921"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}