🥇Vélemény: a DANE technológia a böngészők számára megbukott

Arról beszélünk, hogy mit jelent a DANE technológia a domain nevek DNS alapú hitelesítésében, és miért nem terjedt el széles körben a böngészőkben.

/ Unsplash / Paulius Dragunas

Mi az a DANE

A tanúsítványkiadók (CA) olyan szervezetek, amelyek foglalkoznak a kriptográfiai SSL tanúsítványokhitelesítéssel. Elektronikus aláírásukkal igazolják a hitelességüket. Azonban néha előfordulnak olyan helyzetek, amikor a tanúsítványok kiadása szabálytalanságokkal történik. Például tavaly a Google elindította a „megbízhatóság megvonásának eljárását” a Symantec tanúsítványokkal kapcsolatban a kompromittálódásuk miatt (erről részletesen írtunk a blogunkban — egyszer és kétszer).

Az ilyen helyzetek elkerülése érdekében néhány évvel ezelőtt az IETF elkezdte fejleszteni a DANE technológiát (de ez nem terjedt el széles körben a böngészőkben — erről később beszélünk).

A DANE (DNS-alapú Hitelesítése Nevezett Entitások) egy specifikációs készlet, amely lehetővé teszi a DNSSEC (Domain Name System Security Extensions) használatát az SSL-tanúsítványok érvényességének ellenőrzésére. A DNSSEC a domain nevek rendszerének kiterjesztése, amely minimalizálja a címhamisítással kapcsolatos támadásokat. E két technológia felhasználásával a webmesterek vagy az ügyfelek hozzáférhetnek a DNS zóna üzemeltetőihez, és megerősíthetik a használt tanúsítvány érvényességét.

Lényegében a DANE egy önaláírt tanúsítványként működik (megbízhatóságát a DNSSEC garantálja), és kiegészíti a CA funkcióit.

Hogyan működik ez

A DANE specifikációja le van írva a RFC6698dokumentumban. A dokumentum szerint a DNS erőforrásrekordokba új típust — TLSA — adtak hozzá. Ez tartalmazza a továbbított tanúsítványra vonatkozó információt, a méretét és a továbbított adatok típusát, valamint magukat az adatokat. A webmester létrehoz egy digitális ujjlenyomatot a tanúsítványról, aláírja a DNSSEC használatával, és elhelyezi a TLSA-ban.

Az ügyfél csatlakozik az internetes webhelyhez, és összehasonlítja annak tanúsítványát a DNS-üzemeltetőtől kapott „másolattal”. Ha ezek egyeznek, akkor az erőforrást megbízhatónak tekintik.

A DANE wikioldalán a következő példa található a példány.org szerver DNS-lekérdezésére a 443-as TCP-porton:

IN TLSA _443._tcp.example.org

A válasz így néz ki:

 _443._tcp.example.com. IN TLSA (
   3 0 0 30820307308201efa003020102020... )

A DANE több kiterjesztéssel rendelkezik, amelyek más DNS rekordokkal is együttműködnek a TLSA mellett. Az első a DNS SSHFP rekord, amely a kulcsok ellenőrzésére szolgál SSH kapcsolat esetén. Ezt a következő dokumentumban találja: RFC4255, RFC6594 és RFC7479. A második az OPENPGPKEY rekord, amely lehetővé teszi a kulcsok megosztását PGP segítségével (RFC7929). Végül a harmadik a SMIMEA rekord (a szabvány RFC formátumban nem került rögzítésre, csak egy vázlat létezik ), amely titkosított kulcscsere megvalósítására szolgál S/MIME esetén.Mi a probléma a DANE-nel

Május közepén zajlott a DNS-OARC konferencia (ez egy nonprofit szervezet, amely a domain nevek biztonságával, stabilitásával és fejlesztésével foglalkozik). Az egyik panelen a szakértők

arra a következtetésre jutottak , hogy a DANE technológia a böngészőkben megbukott (legalábbis a jelenlegi megvalósításban). A konferencián részt vevő Geoff Huston, azAPNIC , az öt regionális internet regisztrátor egyike,így nyilatkozott a DANE-ről, mint "holt technológia". A népszerű böngészők nem támogatják a tanúsítványok DANE általi hitelesítését. A piacon

különféle pluginok találhatók , amelyek kihasználják a TLSA rekordok funkcionalitását, azonban ezek támogatásátlassan megszüntetik. A DANE elterjedésének problémáit a DNSSEC érvényesítési folyamatának hosszúságával hozzák összefüggésbe. A rendszer kriptográfiai számításokat végez a SSL tanúsítvány hitelesítésének megerősítésére, és át kell haladnia az összes DNS szerver láncon (a gyökérzónától a host domain-ig) az első kapcsolatfelvétel során..

Kaley Dykstra

/ Unsplash / Ezt a hátrányt a Mozilla próbálta orvosolni a DNSSEC Chain Extension

a TLS-hez. Ennek csökkentenie kellett volna a DNS rekordok számát, amelyet a kliensnek át kellett néznie a hitelesítés során. Azonban a fejlesztői csoporton belül nézeteltérések merültek fel, amelyeket nem sikerült megoldani. Végül a projektet leállították, bár 2018 márciusában az IETF jóváhagyta. A DANE alacsony népszerűségének egy másik oka a DNSSEC gyenge elterjedtsége a világban — csak a források 19%-a működik vele

. A szakértők szerint ez nem elegendő a DANE aktív előmozdításához. csak 19% -át használja. Szakértők úgy vélik, hogy ez nem elegendő a DANE aktív népszerűsítéséhez.

Valószínűleg az ipar más irányba fog fejlődni. Ahelyett, hogy a DNS-t használnák az SSL/TLS tanúsítványok ellenőrzésére, a piaci szereplők éppen ellenkezőleg, a DNS-over-TLS (DoT) és a DNS-over-HTTPS (DoH) protokollokat fogják népszerűsíteni. Az utolsót egy korábbi anyagunkban említettük az előző anyagainkban a Habrán. Ezek titkosítják és ellenőrzik a felhasználók DNS-kiszolgálóhoz intézett kéréseit, megakadályozva, hogy a rosszindulatú szereplők manipulálhassák az adatokat. Az év elején a DoT már bevezetésre került a Google-nál közpublic DNS szolgáltatásukhoz. Ami a DANE-t illeti - hogy a technológia "visszajöjjön a nyeregbe" és valóban elterjedtté váljon, azt a jövő dönti el.

Mit ajánlunk még további olvasmányként:
Hogyan automatizáljuk az IT-infrastruktúra kezelését - három trendről beszélgetünk
A JMAP - nyílt protokoll felváltja az IMAP-ot az elektronikus levelezés során
Hogyan takaríthatunk meg az alkalmazásprogramozási interfészen keresztül
DevOps felhőszolgáltatáson, a 1cloud.ru példáján
Az 1cloud felhőarchitektúrájának evolúciója
Hogyan működik az 1cloud ügyfélszolgálata
Mítoszok a felhőtechnológiai megoldásokról