{"id":34921,"date":"2019-10-31T22:01:17","date_gmt":"2019-10-31T19:01:17","guid":{"rendered":"https:\/\/prohoster.info\/blog\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas\/"},"modified":"2019-10-31T22:01:17","modified_gmt":"2019-10-31T19:01:17","slug":"est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","title":{"rendered":"Si dice che la tecnologia DANE per i browser abbia fallito","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Parliamo di cosa sia la tecnologia DANE per l'autenticazione dei nomi di dominio tramite DNS e perch\u00e9 non abbia avuto una diffusione significativa nei browser.<\/p>\n

\"Si<\/a><\/noindex><\/a><\/noindex>
\n\/ Unsplash \/ Paulius Dragunas<\/a><\/noindex><\/i><\/p>\n

Cos'\u00e8 DANE<\/h2>\n

\nGli enti di certificazione (CA) sono organizzazioni che anche presso la National Quantum Initiative americana.<\/a><\/noindex> forniscono certificati crittografici certificati SSL<\/a><\/noindex>. Queste pongono la loro firma elettronica su di essi, confermando l'autenticit\u00e0. Tuttavia, a volte sorgono situazioni in cui i certificati vengono emessi con violazioni. Ad esempio, l'anno scorso Google ha avviato una 'procedura di revoca della fiducia' nei confronti dei certificati Symantec a causa della loro compromissione (abbiamo trattato questa storia nel nostro blog \u2014 una volta<\/a><\/noindex> e due volte<\/a><\/noindex>).<\/p>\n

Per evitare tali situazioni, alcuni anni fa l'IETF ha iniziato a sviluppare<\/a><\/noindex> la tecnologia DANE (ma non ha avuto una diffusione significativa nei browser \u2014 di questo parleremo in seguito).<\/p>\n

DANE (Autenticazione Basata su DNS delle Entit\u00e0 Nominate) \u00e8 un insieme di specifiche che consente di utilizzare DNSSEC (Extensions di Sicurezza del Sistema dei Nomini) per verificare l'affidabilit\u00e0 dei certificati SSL. DNSSEC \u00e8 un'estensione per il sistema di nomi a dominio che minimizza gli attacchi legati all'alterazione degli indirizzi. Utilizzando queste due tecnologie, il webmaster o il cliente possono contattare uno degli operatori delle zone DNS e confermare la validit\u00e0 del certificato in uso.<\/p>\n

In sostanza, DANE funge da certificato autofirmato (la cui affidabilit\u00e0 \u00e8 garantita da DNSSEC) e integra le funzioni delle CA.<\/p>\n

Come funziona<\/h2>\n

\nLa specifica DANE \u00e8 descritta nel RFC6698<\/a><\/noindex>. Secondo il documento, in record DNS<\/a><\/noindex> \u00e8 stato aggiunto un nuovo tipo \u2014 TLSA. Questo contiene informazioni sul certificato trasmesso, le dimensioni e il tipo dei dati trasmessi, oltre ai dati stessi. Il webmaster crea un'impronta digitale del certificato, la firma tramite DNSSEC e la pubblica in TLSA.<\/p>\n

Il cliente si connette al sito web e confronta il certificato con una \"copia\" ricevuta dall'operatore DNS. Se coincidono, la risorsa \u00e8 considerata fidata.<\/p><\/blockquote>\n

\nNella pagina wiki di DANE \u00e8 fornito il seguente esempio di richiesta DNS al server example.org sulla porta TCP 443:<\/p>\n

IN TLSA _443._tcp.example.org<\/code><\/pre>\n
\nLa risposta appare cos\u00ec:<\/p>\n
 _443._tcp.example.com. IN TLSA (\n   3 0 0 30820307308201efa003020102020... )\n<\/code><\/pre>\n
\nDANE ha diversi estensioni che lavorano con altre registrazioni DNS oltre a TLSA. La prima \u00e8 la registrazione DNS SSHFP per la verifica delle chiavi durante le connessioni SSH. \u00c8 descritta in RFC4255<\/a><\/noindex>,\u00a0RFC6594<\/a><\/noindex>\u00a0e\u00a0RFC7479<\/a><\/noindex>. La seconda \u00e8 la registrazione OPENPGPKEY per lo scambio di chiavi tramite PGP (RFC7929<\/a><\/noindex>). Infine, la terza \u00e8 la registrazione SMIMEA (nello standard RFC non \u00e8 formalizzata, c'\u00e8 solo una sua bozza<\/a><\/noindex>) per lo scambio crittografico di chiavi tramite S\/MIME.<\/p>\n
Qual \u00e8 il problema con DANE<\/h2>\n
\nA met\u00e0 maggio si \u00e8 tenuta la conferenza DNS-OARC (un'organizzazione non profit che si occupa di sicurezza, stabilit\u00e0 e sviluppo del sistema dei nomi di dominio). In uno dei panel, gli esperti hanno concluso<\/a><\/noindex>, che la tecnologia DANE nei browser ha fallito (almeno nella sua attuale implementazione). Geoff Huston, principale ricercatore APNIC<\/a><\/noindex>, uno dei cinque registratori internet regionali, ha parlato<\/a><\/noindex> di DANE come di una \u00abtecnologia morta\u00bb.<\/p>\n
I browser pi\u00f9 popolari non supportano l'autenticazione dei certificati tramite DANE. Sul mercato si possono trovare plugin specializzati<\/a><\/noindex>, che svelano le funzionalit\u00e0 delle registrazioni TLSA, ma anche il loro supporto sta gradualmente diminuendo<\/a><\/noindex>.<\/p><\/blockquote>\n
\nI problemi di diffusione di DANE nei browser sono legati alla lunghezza del processo di convalida tramite DNSSEC. Il sistema deve effettuare calcoli crittografici per confermare l'autenticit\u00e0 del certificato SSL e seguire l'intera catena di server DNS (dalla zona radice fino al dominio dell'host) al primo collegamento con la risorsa.<\/p>\n
\"Si
\n\/ Unsplash \/ Kaley Dykstra<\/a><\/noindex><\/i><\/p>\n
Questo difetto \u00e8 stato tentato di essere risolto in Mozilla tramite il meccanismo DNSSEC Chain Extension<\/a><\/noindex> per TLS. Questo avrebbe dovuto ridurre il numero di record DNS che il client doveva esaminare durante l'autenticazione. Tuttavia, sono sorte divergenze all'interno del gruppo di sviluppatori, che non sono state risolte. Alla fine, il progetto \u00e8 stato abbandonato, anche se era stato approvato dall'IETF nel marzo 2018.<\/p>\n
Un'altra ragione per la bassa popolarit\u00e0 di DANE \u00e8 considerata la scarsa diffusione di DNSSEC nel mondo \u2014 solo il 19% delle risorse<\/a><\/noindex>. Gli esperti hanno ritenuto che questo non fosse sufficiente per una promozione attiva di DANE.<\/p>\n
Probabilmente, l'industria si svilupper\u00e0 in un'altra direzione. Invece di utilizzare il DNS per la verifica dei certificati SSL\/TLS, gli attori del mercato, al contrario, promuoveranno i protocolli DNS-over-TLS (DoT) e DNS-over-HTTPS (DoH). L'ultimo \u00e8 stato menzionato in uno dei nostri precedenti materiali<\/a><\/noindex> su Habr\u00e9. Questi protocolli crittografano e verificano le richieste degli utenti ai server DNS, impedendo ai malintenzionati di falsificare i dati. All'inizio dell'anno, DoT \u00e8 gi\u00e0 \u00e8 stato implementato<\/a><\/noindex> stato implementato da Google per il suo DNS pubblico. Per quanto riguarda DANE, se la tecnologia riuscir\u00e0 a \"ritornare in sella\" e diventare comunque mainstream, dovremo aspettare per vedere.<\/p>\n
Cosa abbiamo ancora per ulteriori letture:<\/b><\/p>\n
\"Si Come automatizzare la gestione dell'infrastruttura IT - discutiamo tre tendenze<\/a><\/noindex>
\n\"Si JMAP \u2014 il protocollo aperto che sostituir\u00e0 l'IMAP per lo scambio di email<\/a><\/noindex><\/p>\n
\"Si Come risparmiare utilizzando un'interfaccia API<\/a><\/noindex>
\n\"Si DevOps nel servizio cloud: l'esempio di 1cloud.ru<\/a><\/noindex>
\n\"Si L'evoluzione dell'architettura cloud di 1cloud<\/a><\/noindex><\/p>\n
\"Si Come funziona il supporto tecnico di 1cloud<\/a><\/noindex>
\n\"Si Miti sulle tecnologie cloud<\/a><\/noindex><\/p><\/blockquote>\n
Fonte: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0413\u043e\u0432\u043e\u0440\u0438\u043c \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u0441\u043e\u0431\u043e\u0439 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f DANE \u0434\u043b\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0434\u043e\u043c\u0435\u043d\u043d\u044b\u0445 \u0438\u043c\u0435\u043d \u043f\u043e DNS \u0438 \u043f\u043e\u0447\u0435\u043c\u0443 \u043e\u043d\u0430 \u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0430 \u0448\u0438\u0440\u043e\u043a\u043e\u0433\u043e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430\u0445. \/ Unsplash \/ Paulius Dragunas \u0427\u0442\u043e \u0442\u0430\u043a\u043e\u0435 DANE \u0421\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0435 \u0446\u0435\u043d\u0442\u0440\u044b (CA) \u2014 \u044d\u0442\u043e \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0437\u0430\u043d\u0438\u043c\u0430\u044e\u0442\u0441\u044f \u0443\u0434\u043e\u0441\u0442\u043e\u0432\u0435\u0440\u0435\u043d\u0438\u0435\u043c \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u0438\u0445 SSL-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432. \u041e\u043d\u0438 \u0441\u0442\u0430\u0432\u044f\u0442 \u043d\u0430 \u043d\u0438\u0445 \u0441\u0432\u043e\u044e \u044d\u043b\u0435\u043a\u0442\u0440\u043e\u043d\u043d\u0443\u044e \u043f\u043e\u0434\u043f\u0438\u0441\u044c, \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u044f \u043f\u043e\u0434\u043b\u0438\u043d\u043d\u043e\u0441\u0442\u044c. \u041e\u0434\u043d\u0430\u043a\u043e \u043f\u043e\u0440\u043e\u0439 \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u044e\u0442 \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u0438, […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":26289,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-34921","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47C'\u00e8 un'opinione: la tecnologia DANE per i browser \u00e8 fallita | ProHoster","description":"Parliamo di cosa sia la tecnologia DANE per l'autenticazione dei nomi di dominio tramite DNS e perch\u00e9 non ha ottenuto una diffusione ampia nei browser. \/ Unsplash \/ Paulius Dragunas Cosa \u00e8 DANE I certificatori (CA) sono organizzazioni che si occupano della certificazione dei certificati SSL crittografici. Appongono sulla loro firma elettronica, confermando l'autenticit\u00e0. Tuttavia, a volte sorgono situazioni.","canonical_url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0415\u0441\u0442\u044c \u043c\u043d\u0435\u043d\u0438\u0435: \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f DANE \u0434\u043b\u044f \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u043e\u0432 \u043f\u0440\u043e\u0432\u0430\u043b\u0438\u043b\u0430\u0441\u044c | ProHoster","og:description":"\u0413\u043e\u0432\u043e\u0440\u0438\u043c \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u0441\u043e\u0431\u043e\u0439 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f DANE \u0434\u043b\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0434\u043e\u043c\u0435\u043d\u043d\u044b\u0445 \u0438\u043c\u0435\u043d \u043f\u043e DNS \u0438 \u043f\u043e\u0447\u0435\u043c\u0443 \u043e\u043d\u0430 \u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0430 \u0448\u0438\u0440\u043e\u043a\u043e\u0433\u043e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430\u0445. \/ Unsplash \/ Paulius Dragunas \u0427\u0442\u043e \u0442\u0430\u043a\u043e\u0435 DANE \u0421\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0435 \u0446\u0435\u043d\u0442\u0440\u044b (CA) \u2014 \u044d\u0442\u043e \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0437\u0430\u043d\u0438\u043c\u0430\u044e\u0442\u0441\u044f \u0443\u0434\u043e\u0441\u0442\u043e\u0432\u0435\u0440\u0435\u043d\u0438\u0435\u043c \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u0438\u0445 SSL-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432. \u041e\u043d\u0438 \u0441\u0442\u0430\u0432\u044f\u0442 \u043d\u0430 \u043d\u0438\u0445 \u0441\u0432\u043e\u044e \u044d\u043b\u0435\u043a\u0442\u0440\u043e\u043d\u043d\u0443\u044e \u043f\u043e\u0434\u043f\u0438\u0441\u044c, \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u044f \u043f\u043e\u0434\u043b\u0438\u043d\u043d\u043e\u0441\u0442\u044c. \u041e\u0434\u043d\u0430\u043a\u043e \u043f\u043e\u0440\u043e\u0439 \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u044e\u0442 \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u0438,","og:url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:01:17+00:00","article:modified_time":"2019-10-31T19:01:17+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"34921","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 21:07:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 02:12:28","updated":"2026-01-21 21:07:19"},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/34921","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=34921"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/34921\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media\/26289"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=34921"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=34921"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=34921"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}