{"id":34921,"date":"2019-10-31T22:01:17","date_gmt":"2019-10-31T19:01:17","guid":{"rendered":"https:\/\/prohoster.info\/blog\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas\/"},"modified":"2019-10-31T22:01:17","modified_gmt":"2019-10-31T19:01:17","slug":"est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","title":{"rendered":"Il y a un consensus : la technologie DANE pour les navigateurs a \u00e9chou\u00e9","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Nous parlons de ce qu'est la technologie DANE pour l'authentification des noms de domaine via DNS et pourquoi elle n'a pas \u00e9t\u00e9 largement adopt\u00e9e dans les navigateurs.<\/p>\n

\"Il<\/a><\/noindex><\/a><\/noindex>
\n\/ Unsplash \/ Paulius Dragunas<\/a><\/noindex><\/i><\/p>\n

Qu'est-ce que DANE<\/h2>\n

\nLes autorit\u00e9s de certification (CA) sont des organisations qui est \u00e9galement pris en charge<\/a><\/noindex> certifient la cryptographie de certificats SSL<\/a><\/noindex>. Elles apposent leur signature \u00e9lectronique, confirmant l'authenticit\u00e9. Cependant, des situations surviennent parfois o\u00f9 les certificats sont d\u00e9livr\u00e9s de mani\u00e8re inappropri\u00e9e. Par exemple, l'ann\u00e9e derni\u00e8re, Google a initi\u00e9 une \"proc\u00e9dure de r\u00e9vocation de confiance\" pour les certificats Symantec en raison de leur compromission (nous avons d\u00e9taill\u00e9 cette histoire dans notre blog \u2014 un<\/a><\/noindex> et deux<\/a><\/noindex>).<\/p>\n

Pour \u00e9viter de telles situations, il y a quelques ann\u00e9es, l'IETF a commenc\u00e9 \u00e0 d\u00e9velopper<\/a><\/noindex> la technologie DANE (mais elle n'a pas \u00e9t\u00e9 largement adopt\u00e9e dans les navigateurs \u2014 nous verrons pourquoi).<\/p>\n

DANE (DNS-based Authentication of Named Entities) est un ensemble de sp\u00e9cifications qui permet d'utiliser DNSSEC (Name System Security Extensions) pour contr\u00f4ler la validit\u00e9 des certificats SSL. DNSSEC est une extension du syst\u00e8me de noms de domaine qui minimise les attaques li\u00e9es \u00e0 la falsification d'adresses. En utilisant ces deux technologies, un webmaster ou un client peut faire appel \u00e0 l'un des op\u00e9rateurs de zone DNS pour confirmer la validit\u00e9 du certificat utilis\u00e9.<\/p>\n

En essence, DANE agit comme un certificat auto-sign\u00e9 (la fiabilit\u00e9 de celui-ci est garantie par DNSSEC) et compl\u00e8te les fonctions de la CA.<\/p>\n

Comment cela fonctionne<\/h2>\n

\nLa sp\u00e9cification DANE est d\u00e9crite dans RFC6698<\/a><\/noindex>. Selon le document, un nouveau type a \u00e9t\u00e9 ajout\u00e9 aux enregistrements de ressources DNS<\/a><\/noindex> : TLSA. Il contient des informations sur le certificat transmis, la dimension et le type des donn\u00e9es transmises, ainsi que les donn\u00e9es elles-m\u00eames. Le webmaster cr\u00e9e un hachage num\u00e9rique du certificat, le signe avec DNSSEC et le publie dans le TLSA.<\/p>\n

Le client se connecte au site Internet et compare son certificat avec la \"copie\" obtenue de l'op\u00e9rateur DNS. Si les deux correspondent, la ressource est consid\u00e9r\u00e9e comme approuv\u00e9e.<\/p><\/blockquote>\n

\nSur la page wiki de DANE, l'exemple suivant d'une requ\u00eate DNS au serveur example.org sur le port TCP 443 est donn\u00e9 :<\/p>\n

IN TLSA _443._tcp.example.org<\/code><\/pre>\n
\nSa r\u00e9ponse est la suivante :<\/p>\n
 _443._tcp.example.com. IN TLSA (\n   3 0 0 30820307308201efa003020102020... )\n<\/code><\/pre>\n
\nDANE a plusieurs extensions qui fonctionnent avec d'autres enregistrements DNS en plus de TLSA. La premi\u00e8re est l'enregistrement DNS SSHFP pour v\u00e9rifier les cl\u00e9s lors des connexions SSH. Elle est d\u00e9crite dans RFC4255<\/a><\/noindex>,\u00a0RFC6594<\/a><\/noindex>\u00a0et\u00a0RFC7479<\/a><\/noindex>. Le deuxi\u00e8me est l'enregistrement OPENPGPKEY pour l'\u00e9change de cl\u00e9s via PGP (RFC7929<\/a><\/noindex>). Enfin, le troisi\u00e8me est l'enregistrement SMIMEA (la norme n'est pas formalis\u00e9e dans le RFC, il n'y a que son brouillon<\/a><\/noindex>) pour l'\u00e9change cryptographique de cl\u00e9s par S\/MIME.<\/p>\n
Quel est le probl\u00e8me avec DANE<\/h2>\n
\n\u00c0 la mi-mai, une conf\u00e9rence DNS-OARC s'est tenue (il s'agit d'une organisation \u00e0 but non lucratif qui s'occupe des questions de s\u00e9curit\u00e9, de stabilit\u00e9 et de d\u00e9veloppement du syst\u00e8me des noms de domaine). Lors d'un des panels, des experts en sont venus \u00e0 la conclusion<\/a><\/noindex>, que la technologie DANE a \u00e9chou\u00e9 dans les navigateurs (du moins dans sa version actuelle). Geoff Huston, un chercheur principal APNIC<\/a><\/noindex>, dont l'organisation est l'un des cinq bureaux d'enregistrement Internet r\u00e9gionaux, a qualifi\u00e9<\/a><\/noindex> DANE de \u00ab technologie morte \u00bb.<\/p>\n
Les navigateurs populaires ne prennent pas en charge l'authentification des certificats via DANE. Sur le march\u00e9, on trouve des plugins sp\u00e9cifiques<\/a><\/noindex>, qui \u00e9tendent la fonctionnalit\u00e9 des enregistrements TLSA, mais leur prise en charge se tarit progressivement.<\/a><\/noindex>.<\/p><\/blockquote>\n
\nLes probl\u00e8mes de diffusion de DANE dans les navigateurs sont li\u00e9s \u00e0 la dur\u00e9e du processus de validation via DNSSEC. Le syst\u00e8me doit effectuer des calculs cryptographiques pour valider l'authenticit\u00e9 du certificat SSL et passer par toute la cha\u00eene de serveurs DNS (de la zone racine au domaine h\u00f4te) lors de la premi\u00e8re connexion \u00e0 la ressource.<\/p>\n
\"Il
\n\/ Unsplash \/ Kaley Dykstra<\/a><\/noindex><\/i><\/p>\n
Cette lacune a essay\u00e9 d'\u00eatre combl\u00e9e par Mozilla \u00e0 l'aide du m\u00e9canisme DNSSEC Chain Extension<\/a><\/noindex> pour TLS. Il devait r\u00e9duire le nombre d'enregistrements DNS \u00e0 examiner par le client lors de l'authentification. Cependant, des d\u00e9saccords au sein du groupe de d\u00e9veloppeurs n'ont pas pu \u00eatre r\u00e9solus. En cons\u00e9quence, le projet a \u00e9t\u00e9 abandonn\u00e9, m\u00eame s'il avait \u00e9t\u00e9 approuv\u00e9 par l'IETF en mars 2018.<\/p>\n
Une autre raison de la faible popularit\u00e9 de DANE est la faible pr\u00e9valence de DNSSEC dans le monde \u2014 il n'y a que 19% des ressources<\/a><\/noindex>. Les experts estiment que cela n'est pas suffisant pour une promotion active de DANE.<\/p>\n
Il est probable que l'industrie se d\u00e9veloppe dans une autre direction. Au lieu d'utiliser DNS pour la v\u00e9rification des certificats SSL\/TLS, les acteurs du march\u00e9, au contraire, vont promouvoir les protocoles DNS-over-TLS (DoT) et DNS-over-HTTPS (DoH). Ce dernier a \u00e9t\u00e9 mentionn\u00e9 dans l'une de nos publications pr\u00e9c\u00e9dentes.<\/a><\/noindex> sur Habr. Ils chiffrent et v\u00e9rifient les requ\u00eates des utilisateurs vers le serveur DNS, emp\u00eachant les attaquants de falsifier les donn\u00e9es. Au d\u00e9but de l'ann\u00e9e, DoT a d\u00e9j\u00e0 ont \u00e9t\u00e9 introduits dans le DNS<\/a><\/noindex> dans Google pour son DNS public. Quant \u00e0 DANE, il reste \u00e0 voir si cette technologie pourra \u00ab revenir dans la course \u00bb et devenir populaire \u00e0 l'avenir.<\/p>\n
Qu'avons-nous d'autre pour une lecture compl\u00e9mentaire :<\/b><\/p>\n
\"Il Comment automatiser la gestion de l'infrastructure informatique - discutons de trois tendances<\/a><\/noindex>
\n\"Il JMAP \u2014 un protocole ouvert qui remplacera IMAP pour l'\u00e9change d'e-mails.<\/a><\/noindex><\/p>\n
\"Il Comment \u00e9conomiser gr\u00e2ce \u00e0 une interface de programmation d'applications<\/a><\/noindex>
\n\"Il DevOps dans le service cloud avec l'exemple de 1cloud.ru<\/a><\/noindex>
\n\"Il L'\u00e9volution de l'architecture du cloud 1cloud<\/a><\/noindex><\/p>\n
\"Il Comment fonctionne le support technique de 1cloud<\/a><\/noindex>
\n\"Il Mythes sur les technologies cloud<\/a><\/noindex><\/p><\/blockquote>\n
Source : habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0413\u043e\u0432\u043e\u0440\u0438\u043c \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u0441\u043e\u0431\u043e\u0439 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f DANE \u0434\u043b\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0434\u043e\u043c\u0435\u043d\u043d\u044b\u0445 \u0438\u043c\u0435\u043d \u043f\u043e DNS \u0438 \u043f\u043e\u0447\u0435\u043c\u0443 \u043e\u043d\u0430 \u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0430 \u0448\u0438\u0440\u043e\u043a\u043e\u0433\u043e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430\u0445. \/ Unsplash \/ Paulius Dragunas \u0427\u0442\u043e \u0442\u0430\u043a\u043e\u0435 DANE \u0421\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0435 \u0446\u0435\u043d\u0442\u0440\u044b (CA) \u2014 \u044d\u0442\u043e \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0437\u0430\u043d\u0438\u043c\u0430\u044e\u0442\u0441\u044f \u0443\u0434\u043e\u0441\u0442\u043e\u0432\u0435\u0440\u0435\u043d\u0438\u0435\u043c \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u0438\u0445 SSL-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432. \u041e\u043d\u0438 \u0441\u0442\u0430\u0432\u044f\u0442 \u043d\u0430 \u043d\u0438\u0445 \u0441\u0432\u043e\u044e \u044d\u043b\u0435\u043a\u0442\u0440\u043e\u043d\u043d\u0443\u044e \u043f\u043e\u0434\u043f\u0438\u0441\u044c, \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u044f \u043f\u043e\u0434\u043b\u0438\u043d\u043d\u043e\u0441\u0442\u044c. \u041e\u0434\u043d\u0430\u043a\u043e \u043f\u043e\u0440\u043e\u0439 \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u044e\u0442 \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u0438, […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":26289,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-34921","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47On dit que : la technologie DANE pour les navigateurs a \u00e9chou\u00e9 | ProHoster","description":"Nous parlons de ce qu'est la technologie DANE pour l'authentification des noms de domaine via DNS et pourquoi elle n'a pas \u00e9t\u00e9 largement adopt\u00e9e dans les navigateurs.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0415\u0441\u0442\u044c \u043c\u043d\u0435\u043d\u0438\u0435: \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f DANE \u0434\u043b\u044f \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u043e\u0432 \u043f\u0440\u043e\u0432\u0430\u043b\u0438\u043b\u0430\u0441\u044c | ProHoster","og:description":"\u0413\u043e\u0432\u043e\u0440\u0438\u043c \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u0441\u043e\u0431\u043e\u0439 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f DANE \u0434\u043b\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0434\u043e\u043c\u0435\u043d\u043d\u044b\u0445 \u0438\u043c\u0435\u043d \u043f\u043e DNS \u0438 \u043f\u043e\u0447\u0435\u043c\u0443 \u043e\u043d\u0430 \u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0430 \u0448\u0438\u0440\u043e\u043a\u043e\u0433\u043e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430\u0445.","og:url":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:01:17+00:00","article:modified_time":"2019-10-31T19:01:17+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"34921","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 21:07:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 02:12:28","updated":"2026-01-21 21:07:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/34921","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=34921"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/34921\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media\/26289"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=34921"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=34921"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=34921"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}