Parliamo di cosa rappresenta la tecnologia DANE per l'autenticazione dei nomi di dominio tramite DNS e perché non ha avuto una diffusione ampia nei browser.
/ Unsplash /
Che cos'è DANE
I certificatori (CA) sono organizzazioni che certificati crittografici . Appongono la loro firma elettronica, confermando l'autenticità. Tuttavia, a volte sorgono situazioni in cui i certificati vengono rilasciati in violazione delle norme. Ad esempio, l'anno scorso Google ha avviato una "procedura di revoca della fiducia" verso i certificati Symantec a causa della loro compromissione (questa storia è stata trattata nel nostro blog - e ).
Per evitare tali situazioni, qualche anno fa in IETF la tecnologia DANE (ma non ha trovato una ampia diffusione nei browser - di seguito discuteremo il motivo).
DANE (Authentication of Named Entities basata su DNS) è un insieme di specifiche che permette di utilizzare DNSSEC (Name System Security Extensions) per verificare l'validità dei certificati SSL. DNSSEC è un'estensione del sistema dei nomi di dominio che minimizza gli attacchi collegati alla sostituzione degli indirizzi. Utilizzando queste due tecnologie, un webmaster o un cliente possono contattare uno degli operatori delle zone DNS e confermare la validità del certificato in uso.
Fondamentalmente, DANE agisce come un certificato autofirmato (la cui affidabilità è garantita da DNSSEC) e integra le funzioni del CA.
Come funziona
La specifica di DANE è descritta in . Secondo il documento, in è stato aggiunto un nuovo tipo - TLSA. Esso contiene informazioni sul certificato trasmesso, la dimensione e il tipo dei dati inviati, nonché i dati stessi. Il webmaster crea un'impronta digitale del certificato, la firma con DNSSEC e la pubblica in TLSA.
Il cliente si connette al sito internet e confronta il suo certificato con la "copia" ricevuta dall'operatore DNS. Se coincidono, la risorsa è considerata fidata.
Nella pagina wiki di DANE viene fornito il seguente esempio di richiesta DNS al server example.org sulla porta TCP 443:
IN TLSA _443._tcp.example.orgLa risposta a questa è la seguente:
_443._tcp.example.com. IN TLSA (
3 0 0 30820307308201efa003020102020... )
DANE ha diversi estensioni che lavorano con altri record DNS oltre a TLSA. La prima è il record DNS SSHFP per la verifica delle chiavi durante le connessioni SSH. Essa è descritta in , e . Il secondo è una registrazione OPENPGPKEY per lo scambio di chiavi utilizzando PGP (). Infine, il terzo è una registrazione SMIMEA (nel RFC lo standard non è formalizzato, c'è ) per l'interscambio crittografico delle chiavi tramite S/MIME.
Qual è il problema con DANE
A metà maggio si è tenuta la conferenza DNS-OARC (un'organizzazione non profit che si occupa di questioni relative alla sicurezza, stabilità e sviluppo del sistema dei nomi a dominio). In uno dei panel, gli esperti , che la tecnologia DANE nei browser ha fallito (almeno nella sua attuale implementazione). Presente alla conferenza, Geoff Huston, principale ricercatore , uno dei cinque registratori di internet regionali, DANE come una «tecnologia morta».
I browser più popolari non supportano l'autenticazione dei certificati tramite DANE. Sul mercato , che espandono la funzionalità dei record TLSA, ma anche il loro supporto .
I problemi con la diffusione di DANE nei browser sono attribuiti alla durata del processo di validazione tramite DNSSEC. Il sistema è costretto a eseguire calcoli crittografici per confermare l'autenticità del certificato SSL e a passare attraverso tutta la catena dei server DNS (dalla zona radice fino al dominio dell'host) al primo collegamento con la risorsa.
/ Unsplash /
Questa mancanza è stata tentata di essere risolta in Mozilla tramite il meccanismo per TLS. Doveva ridurre il numero di record DNS che il cliente doveva esaminare durante l'autenticazione. Tuttavia, all'interno del gruppo di sviluppo sono emerse divergenze che non sono riuscite a essere risolte. Alla fine il progetto è stato abbandonato, sebbene fosse stato approvato dall'IETF nel marzo 2018.
Un'altra ragione della bassa popolarità di DANE è considerata la scarsa diffusione di DNSSEC nel mondo — . Gli esperti hanno ritenuto che questo non fosse sufficiente per una promozione attiva di DANE.
È probabile che l'industria si svilupperà in un'altra direzione. Invece di utilizzare DNS per la verifica dei certificati SSL/TLS, gli attori del mercato, al contrario, promuoveranno i protocolli DNS-over-TLS (DoT) e DNS-over-HTTPS (DoH). Quest'ultimo è stato menzionato in uno dei nostri su Habr. Crittografano e controllano le richieste degli utenti ai server DNS, impedendo agli attaccanti di sostituire i dati. All'inizio dell'anno, DoT era già in Google per il suo DNS pubblico. Per quanto riguarda DANE, se la tecnologia riuscirà a "ritornare in carreggiata" e diventare davvero popolare, dovremo aspettare e vedere.
Cosa abbiamo in più per una lettura aggiuntiva:
Fonte: habr.com
