एक राय है: ब्राउज़रों के लिए DANE तकनीक विफल हो गई है

हम इस बारे में बात करते हैं कि DNS का उपयोग करके डोमेन नामों को प्रमाणित करने के लिए DANE तकनीक क्या है और ब्राउज़रों में इसका व्यापक रूप से उपयोग क्यों नहीं किया जाता है।

/अनस्प्लैश/ पॉलियस ड्रैगुनास

डेन क्या है?

प्रमाणन प्राधिकरण (सीए) ऐसे संगठन हैं जो लगे हुए हैं क्रिप्टोग्राफ़िक प्रमाणपत्र एसएसएल प्रमाणपत्र. उन्होंने उनकी प्रामाणिकता की पुष्टि करते हुए उन पर अपना इलेक्ट्रॉनिक हस्ताक्षर लगाया। हालाँकि, कभी-कभी ऐसी स्थितियाँ उत्पन्न होती हैं जब प्रमाणपत्र उल्लंघनों के साथ जारी किए जाते हैं। उदाहरण के लिए, पिछले साल Google ने सिमेंटेक प्रमाणपत्रों के समझौते के कारण उनके लिए "डिट्रस्ट प्रक्रिया" शुरू की थी (हमने इस कहानी को अपने ब्लॉग में विस्तार से कवर किया है - समय и два).

ऐसी स्थितियों से बचने के लिए कई वर्ष पहले आई.ई.टी.एफ विकास करना शुरू कर दिया डेन तकनीक (लेकिन ब्राउज़रों में इसका व्यापक रूप से उपयोग नहीं किया जाता है - हम इस बारे में बाद में बात करेंगे कि ऐसा क्यों हुआ)।

DANE (नामित संस्थाओं का DNS-आधारित प्रमाणीकरण) विशिष्टताओं का एक सेट है जो आपको SSL प्रमाणपत्रों की वैधता को नियंत्रित करने के लिए DNSSEC (नाम सिस्टम सुरक्षा एक्सटेंशन) का उपयोग करने की अनुमति देता है। DNSSEC डोमेन नाम सिस्टम का एक एक्सटेंशन है जो एड्रेस स्पूफिंग हमलों को कम करता है। इन दो तकनीकों का उपयोग करके, एक वेबमास्टर या क्लाइंट DNS ज़ोन ऑपरेटरों में से किसी एक से संपर्क कर सकता है और उपयोग किए जा रहे प्रमाणपत्र की वैधता की पुष्टि कर सकता है।

मूलतः, DANE एक स्व-हस्ताक्षरित प्रमाणपत्र के रूप में कार्य करता है (इसकी विश्वसनीयता का गारंटर DNSSEC है) और एक CA के कार्यों को पूरा करता है।

Как это работает

DANE विनिर्देशन में वर्णित है RFC6698. दस्तावेज़ के अनुसार, में डीएनएस संसाधन रिकॉर्ड एक नया प्रकार जोड़ा गया - टीएलएसए। इसमें स्थानांतरित किए जा रहे प्रमाणपत्र, स्थानांतरित किए जा रहे डेटा के आकार और प्रकार के साथ-साथ स्वयं डेटा के बारे में जानकारी शामिल है। वेबमास्टर प्रमाणपत्र का एक डिजिटल थंबप्रिंट बनाता है, उस पर DNSSEC के साथ हस्ताक्षर करता है, और उसे TLSA में रखता है।

क्लाइंट इंटरनेट पर एक साइट से जुड़ता है और उसके प्रमाणपत्र की तुलना DNS ऑपरेटर से प्राप्त "कॉपी" से करता है। यदि वे मेल खाते हैं, तो संसाधन को विश्वसनीय माना जाता है।

DANE विकी पृष्ठ TCP पोर्ट 443 पर example.org पर DNS अनुरोध का निम्नलिखित उदाहरण प्रदान करता है:

IN TLSA _443._tcp.example.org

उत्तर इस प्रकार दिखता है:

 _443._tcp.example.com. IN TLSA (
   3 0 0 30820307308201efa003020102020... )

DANE के पास कई एक्सटेंशन हैं जो TLSA के अलावा DNS रिकॉर्ड के साथ काम करते हैं। SSH कनेक्शन पर कुंजियों को मान्य करने के लिए पहला SSHFP DNS रिकॉर्ड है। इसमें वर्णित है RFC4255, RFC6594 и RFC7479. दूसरी पीजीपी का उपयोग करके कुंजी विनिमय के लिए OPENPGPKEY प्रविष्टि है (RFC7929). अंत में, तीसरा SMIMEA रिकॉर्ड है (मानक RFC में औपचारिक नहीं है, वहाँ है इसका केवल एक मसौदा) S/MIME के ​​माध्यम से क्रिप्टोग्राफ़िक कुंजी विनिमय के लिए।

डेन के साथ क्या समस्या है?

मई के मध्य में, DNS-OARC सम्मेलन आयोजित किया गया था (यह एक गैर-लाभकारी संगठन है जो डोमेन नाम प्रणाली की सुरक्षा, स्थिरता और विकास से संबंधित है)। एक पैनल पर विशेषज्ञ इस निष्कर्ष पर पहुंचाब्राउज़रों में DANE तकनीक विफल हो गई है (कम से कम इसके वर्तमान कार्यान्वयन में)। सम्मेलन में प्रमुख अनुसंधान वैज्ञानिक ज्योफ हस्टन उपस्थित थे APNIC, पाँच क्षेत्रीय इंटरनेट रजिस्ट्रारों में से एक, जवाब दिया डेन के बारे में "मृत प्रौद्योगिकी" के रूप में।

लोकप्रिय ब्राउज़र DANE का उपयोग करके प्रमाणपत्र प्रमाणीकरण का समर्थन नहीं करते हैं। बाजार पर विशेष प्लगइन्स हैं, जो टीएलएसए रिकॉर्ड की कार्यक्षमता के साथ-साथ उनके समर्थन को भी प्रकट करता है धीरे-धीरे बंद करो.

ब्राउज़रों में DANE वितरण की समस्याएँ DNSSEC सत्यापन प्रक्रिया की लंबाई से जुड़ी हैं। सिस्टम को एसएसएल प्रमाणपत्र की प्रामाणिकता की पुष्टि करने के लिए क्रिप्टोग्राफ़िक गणना करने के लिए मजबूर किया जाता है और पहली बार किसी संसाधन से कनेक्ट होने पर DNS सर्वर की पूरी श्रृंखला (रूट ज़ोन से होस्ट डोमेन तक) से गुज़रना पड़ता है।

/अनस्प्लैश/ कैली डाइक्स्ट्रा

मोज़िला ने तंत्र का उपयोग करके इस खामी को दूर करने का प्रयास किया डीएनएसएसईसी चेन एक्सटेंशन टीएलएस के लिए. यह उन DNS रिकॉर्ड्स की संख्या को कम करने वाला था जिन्हें क्लाइंट को प्रमाणीकरण के दौरान देखना पड़ता था। हालाँकि, विकास समूह के भीतर असहमति उत्पन्न हुई जिसे हल नहीं किया जा सका। परिणामस्वरूप, परियोजना को छोड़ दिया गया, हालांकि इसे मार्च 2018 में IETF द्वारा अनुमोदित किया गया था।

DANE की कम लोकप्रियता का एक अन्य कारण दुनिया में DNSSEC का कम प्रचलन है - केवल 19% संसाधन ही इसके साथ काम करते हैं. विशेषज्ञों ने महसूस किया कि यह DANE को सक्रिय रूप से बढ़ावा देने के लिए पर्याप्त नहीं था।

सबसे अधिक संभावना है, उद्योग एक अलग दिशा में विकसित होगा। एसएसएल/टीएलएस प्रमाणपत्रों को सत्यापित करने के लिए डीएनएस का उपयोग करने के बजाय, बाजार खिलाड़ी डीएनएस-ओवर-टीएलएस (डीओटी) और डीएनएस-ओवर-एचटीटीपीएस (डीओएच) प्रोटोकॉल को बढ़ावा देंगे। हमने अपने एक में उत्तरार्द्ध का उल्लेख किया है पिछली सामग्री हेबेरे पर. वे DNS सर्वर पर उपयोगकर्ता के अनुरोधों को एन्क्रिप्ट और सत्यापित करते हैं, जिससे हमलावरों को डेटा को धोखा देने से रोका जा सकता है। वर्ष की शुरुआत में, DoT पहले से ही था कार्यान्वित Google को उसके सार्वजनिक DNS के लिए। जहां तक ​​डेन का सवाल है, क्या प्रौद्योगिकी "काठी में वापस आने" में सक्षम होगी और अभी भी व्यापक हो जाएगी, यह भविष्य में देखा जाना बाकी है।

आगे पढ़ने के लिए हमारे पास और क्या है:

आईटी अवसंरचना प्रबंधन को स्वचालित कैसे करें - तीन रुझानों पर चर्चा
जेएमएपी - एक खुला प्रोटोकॉल जो ईमेल का आदान-प्रदान करते समय आईएमएपी की जगह लेगा

एप्लिकेशन प्रोग्रामिंग इंटरफ़ेस से कैसे बचत करें
1cloud.ru के उदाहरण का उपयोग करके क्लाउड सेवा में DevOps
क्लाउड आर्किटेक्चर 1क्लाउड का विकास

1क्लाउड तकनीकी सहायता कैसे काम करती है?
क्लाउड प्रौद्योगिकियों के बारे में मिथक

स्रोत: www.habr.com