{"id":34921,"date":"2019-10-31T22:01:17","date_gmt":"2019-10-31T19:01:17","guid":{"rendered":"https:\/\/prohoster.info\/blog\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas\/"},"modified":"2019-10-31T22:01:17","modified_gmt":"2019-10-31T19:01:17","slug":"est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","title":{"rendered":"Hay una opini\u00f3n: la tecnolog\u00eda DANE para navegadores ha fracasado","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Hablamos sobre qu\u00e9 es la tecnolog\u00eda DANE para la autenticaci\u00f3n de nombres de dominio a trav\u00e9s de DNS y por qu\u00e9 no ha tenido una amplia adopci\u00f3n en los navegadores.<\/p>\n

\"Hay<\/a><\/noindex><\/a><\/noindex>
\n\/ Unsplash \/ Paulius Dragunas<\/a><\/noindex><\/i><\/p>\n

Qu\u00e9 es DANE<\/h2>\n

\nLas autoridades certificadoras (CA) son organizaciones que est\u00e1 trabajando en<\/a><\/noindex> certificados criptogr\u00e1ficos certificados SSL<\/a><\/noindex>. Ellos colocan su firma electr\u00f3nica en ellos, confirmando la autenticidad. Sin embargo, a veces surgen situaciones en las que se emiten certificados con violaciones. Por ejemplo, el a\u00f1o pasado, Google inici\u00f3 un \"proceso de revocaci\u00f3n de confianza\" hacia los certificados de Symantec debido a su compromiso (detallamos esta historia en nuestro blog - uno<\/a><\/noindex> y dos<\/a><\/noindex>).<\/p>\n

Para evitar tales situaciones, hace unos a\u00f1os, en la IETF comenzaron a desarrollar<\/a><\/noindex> la tecnolog\u00eda DANE (pero no ha tenido una amplia adopci\u00f3n en los navegadores, sobre esto hablaremos m\u00e1s adelante).<\/p>\n

DANE (Autenticaci\u00f3n de Entidades Nombradas Basada en DNS) es un conjunto de especificaciones que permite utilizar DNSSEC (Extensiones de Seguridad del Sistema de Nombres) para controlar la autenticidad de los certificados SSL. DNSSEC es una extensi\u00f3n para el sistema de nombres de dominio que minimiza los ataques relacionados con la suplantaci\u00f3n de direcciones. Usando estas dos tecnolog\u00edas, un webmaster o cliente puede dirigirse a uno de los operadores de zona DNS y verificar la validez del certificado utilizado.<\/p>\n

Esencialmente, DANE act\u00faa como un certificado autofirmado (su confiabilidad est\u00e1 garantizada por DNSSEC) y complementa las funciones de las CA.<\/p>\n

\u00bfC\u00f3mo funciona?<\/h2>\n

\nLa especificaci\u00f3n DANE est\u00e1 descrita en RFC6698<\/a><\/noindex>. Seg\u00fan el documento, se agreg\u00f3 un nuevo tipo de registro a los registros de recursos DNS<\/a><\/noindex> \u2014 TLSA. Contiene informaci\u00f3n sobre el certificado transmitido, la dimensi\u00f3n y el tipo de datos transmitidos, as\u00ed como los datos en s\u00ed. El webmaster crea un hash digital del certificado, lo firma con DNSSEC y lo coloca en TLSA.<\/p>\n

El cliente se conecta al sitio en Internet y compara su certificado con la \"copia\" obtenida del operador DNS. Si coinciden, el recurso se considera de confianza.<\/p><\/blockquote>\n

\nEn la p\u00e1gina wiki de DANE se presenta el siguiente ejemplo de consulta DNS al servidor example.org por el puerto TCP 443:<\/p>\n

IN TLSA _443._tcp.example.org<\/code><\/pre>\n
\nLa respuesta se ve as\u00ed:<\/p>\n
 _443._tcp.example.com. IN TLSA (\n   3 0 0 30820307308201efa003020102020... )\n<\/code><\/pre>\n
\nDANE tiene varias extensiones que trabajan con otros registros DNS adem\u00e1s de TLSA. La primera es el registro DNS SSHFP para verificar las claves en conexiones SSH. Est\u00e1 descrita en RFC4255<\/a><\/noindex>,\u00a0RFC6594<\/a><\/noindex>\u00a0y\u00a0RFC7479<\/a><\/noindex>. Lo segundo es el registro OPENPGPKEY para el intercambio de claves usando PGP (RFC7929<\/a><\/noindex>). Finalmente, lo tercero es el registro SMIMEA (en el RFC no est\u00e1 estandarizado, solo hay un borrador<\/a><\/noindex>) para el intercambio criptogr\u00e1fico de claves a trav\u00e9s de S\/MIME.<\/p>\n
\u00bfCu\u00e1l es el problema con DANE?<\/h2>\n
\nA mediados de mayo se celebr\u00f3 la conferencia DNS-OARC (una organizaci\u00f3n sin fines de lucro que se ocupa de cuestiones de seguridad, estabilidad y desarrollo del sistema de nombres de dominio). En uno de los paneles, los expertos concluyeron<\/a><\/noindex>, que la tecnolog\u00eda DANE ha fracasado en los navegadores (al menos, en la variante actual de su implementaci\u00f3n). Geoff Huston, investigador principal APNIC<\/a><\/noindex>, de uno de los cinco registradores de internet regionales, se refiri\u00f3<\/a><\/noindex> a DANE como una \u00abtecnolog\u00eda muerta\u00bb.<\/p>\n
Los navegadores populares no admiten la autenticaci\u00f3n de certificados mediante DANE. En el mercado existen complementos espec\u00edficos<\/a><\/noindex>, que revelan la funcionalidad de los registros TLSA, pero su soporte se est\u00e1 descontinuando gradualmente.<\/a><\/noindex>.<\/p><\/blockquote>\n
\nLos problemas con la difusi\u00f3n de DANE en los navegadores se asocian con la larga duraci\u00f3n del proceso de validaci\u00f3n a trav\u00e9s de DNSSEC. El sistema debe realizar c\u00e1lculos criptogr\u00e1ficos para confirmar la autenticidad del certificado SSL y atravesar toda la cadena de servidores DNS (desde la zona ra\u00edz hasta el dominio del host) en la primera conexi\u00f3n al recurso.<\/p>\n
\"Hay
\n\/ Unsplash \/ Kaley Dykstra<\/a><\/noindex><\/i><\/p>\n
Este inconveniente se intent\u00f3 solucionar en Mozilla a trav\u00e9s del mecanismo DNSSEC Chain Extension<\/a><\/noindex> para TLS. Se supon\u00eda que deb\u00eda reducir la cantidad de registros DNS que el cliente ten\u00eda que revisar durante la autenticaci\u00f3n. Sin embargo, dentro del grupo de desarrolladores surgieron desacuerdos que no pudieron resolverse. Finalmente, el proyecto fue abandonado, a pesar de que fue aprobado por la IETF en marzo de 2018.<\/p>\n
Otra raz\u00f3n de la baja popularidad de DANE es la escasa difusi\u00f3n de DNSSEC en el mundo \u2014 solo el 19% de los recursos<\/a><\/noindex>. Los expertos consideraron que esto no es suficiente para promover activamente DANE.<\/p>\n
Lo m\u00e1s probable es que la industria se desarrolle en otra direcci\u00f3n. En lugar de utilizar DNS para verificar certificados SSL\/TLS, los actores del mercado, por el contrario, promover\u00e1n protocolos como DNS-over-TLS (DoT) y DNS-over-HTTPS (DoH). Este \u00faltimo fue mencionado en uno de nuestros materiales anteriores.<\/a><\/noindex> en Habr. Cifran y verifican las solicitudes de los usuarios al servidor DNS, evitando que los atacantes puedan alterar los datos. A principios de a\u00f1o, DoT ya implementaron<\/a><\/noindex> en Google para su DNS p\u00fablico. En cuanto a DANE, si la tecnolog\u00eda lograr\u00e1 'volver a estar en la competici\u00f3n' y convertirse en algo masivo, est\u00e1 por verse en el futuro.<\/p>\n
\u00bfQu\u00e9 m\u00e1s tenemos para lectura adicional:<\/b><\/p>\n
\"Hay C\u00f3mo automatizar la gesti\u00f3n de la infraestructura de TI: discutimos tres tendencias<\/a><\/noindex>
\n\"Hay JMAP: el protocolo abierto que reemplazar\u00e1 IMAP en el intercambio de correos electr\u00f3nicos<\/a><\/noindex><\/p>\n
\"Hay C\u00f3mo ahorrar usando una interfaz de programaci\u00f3n de aplicaciones<\/a><\/noindex>
\n\"Hay DevOps en el servicio en la nube utilizando 1cloud.ru como ejemplo<\/a><\/noindex>
\n\"Hay Evoluci\u00f3n de la arquitectura de la nube 1cloud<\/a><\/noindex><\/p>\n
\"Hay C\u00f3mo funciona el soporte t\u00e9cnico de 1cloud<\/a><\/noindex>
\n\"Hay Mitos sobre las tecnolog\u00edas en la nube<\/a><\/noindex><\/p><\/blockquote>\n
Fuente: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0413\u043e\u0432\u043e\u0440\u0438\u043c \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u0441\u043e\u0431\u043e\u0439 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f DANE \u0434\u043b\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0434\u043e\u043c\u0435\u043d\u043d\u044b\u0445 \u0438\u043c\u0435\u043d \u043f\u043e DNS \u0438 \u043f\u043e\u0447\u0435\u043c\u0443 \u043e\u043d\u0430 \u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0430 \u0448\u0438\u0440\u043e\u043a\u043e\u0433\u043e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430\u0445. \/ Unsplash \/ Paulius Dragunas \u0427\u0442\u043e \u0442\u0430\u043a\u043e\u0435 DANE \u0421\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0435 \u0446\u0435\u043d\u0442\u0440\u044b (CA) \u2014 \u044d\u0442\u043e \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0437\u0430\u043d\u0438\u043c\u0430\u044e\u0442\u0441\u044f \u0443\u0434\u043e\u0441\u0442\u043e\u0432\u0435\u0440\u0435\u043d\u0438\u0435\u043c \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u0438\u0445 SSL-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432. \u041e\u043d\u0438 \u0441\u0442\u0430\u0432\u044f\u0442 \u043d\u0430 \u043d\u0438\u0445 \u0441\u0432\u043e\u044e \u044d\u043b\u0435\u043a\u0442\u0440\u043e\u043d\u043d\u0443\u044e \u043f\u043e\u0434\u043f\u0438\u0441\u044c, \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u044f \u043f\u043e\u0434\u043b\u0438\u043d\u043d\u043e\u0441\u0442\u044c. \u041e\u0434\u043d\u0430\u043a\u043e \u043f\u043e\u0440\u043e\u0439 \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u044e\u0442 \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u0438, […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":26289,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-34921","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Se dice: la tecnolog\u00eda DANE para navegadores ha fracasado | ProHoster","description":"Hablamos sobre qu\u00e9 es la tecnolog\u00eda DANE para la autenticaci\u00f3n de nombres de dominio a trav\u00e9s de DNS y por qu\u00e9 no ha tenido una amplia adopci\u00f3n en los navegadores.","canonical_url":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"es_ES","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0415\u0441\u0442\u044c \u043c\u043d\u0435\u043d\u0438\u0435: \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f DANE \u0434\u043b\u044f \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u043e\u0432 \u043f\u0440\u043e\u0432\u0430\u043b\u0438\u043b\u0430\u0441\u044c | ProHoster","og:description":"\u0413\u043e\u0432\u043e\u0440\u0438\u043c \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u0441\u043e\u0431\u043e\u0439 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f DANE \u0434\u043b\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0434\u043e\u043c\u0435\u043d\u043d\u044b\u0445 \u0438\u043c\u0435\u043d \u043f\u043e DNS \u0438 \u043f\u043e\u0447\u0435\u043c\u0443 \u043e\u043d\u0430 \u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0430 \u0448\u0438\u0440\u043e\u043a\u043e\u0433\u043e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430\u0445.","og:url":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:01:17+00:00","article:modified_time":"2019-10-31T19:01:17+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"34921","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 21:07:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 02:12:28","updated":"2026-01-21 21:07:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/34921","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/comments?post=34921"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/34921\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media\/26289"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media?parent=34921"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/categories?post=34921"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/tags?post=34921"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}