{"id":34921,"date":"2019-10-31T22:01:17","date_gmt":"2019-10-31T19:01:17","guid":{"rendered":"https:\/\/prohoster.info\/blog\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas\/"},"modified":"2019-10-31T22:01:17","modified_gmt":"2019-10-31T19:01:17","slug":"est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","title":{"rendered":"C'\u00e8 un'opinione: la tecnologia DANE per i browser \u00e8 fallita","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Parliamo di cosa rappresenta la tecnologia DANE per l'autenticazione dei nomi di dominio tramite DNS e perch\u00e9 non ha avuto una diffusione ampia nei browser.<\/p>\n

\"C'\u00e8<\/a><\/noindex><\/a><\/noindex>
\n\/ Unsplash \/ Paulius Dragunas<\/a><\/noindex><\/i><\/p>\n

Che cos'\u00e8 DANE<\/h2>\n

\nI certificatori (CA) sono organizzazioni che si occupa di<\/a><\/noindex> certificati crittografici dei certificati SSL<\/a><\/noindex>. Appongono la loro firma elettronica, confermando l'autenticit\u00e0. Tuttavia, a volte sorgono situazioni in cui i certificati vengono rilasciati in violazione delle norme. Ad esempio, l'anno scorso Google ha avviato una \"procedura di revoca della fiducia\" verso i certificati Symantec a causa della loro compromissione (questa storia \u00e8 stata trattata nel nostro blog - uno<\/a><\/noindex> e due<\/a><\/noindex>).<\/p>\n

Per evitare tali situazioni, qualche anno fa in IETF hanno iniziato a sviluppare<\/a><\/noindex> la tecnologia DANE (ma non ha trovato una ampia diffusione nei browser - di seguito discuteremo il motivo).<\/p>\n

DANE (Authentication of Named Entities basata su DNS) \u00e8 un insieme di specifiche che permette di utilizzare DNSSEC (Name System Security Extensions) per verificare l'validit\u00e0 dei certificati SSL. DNSSEC \u00e8 un'estensione del sistema dei nomi di dominio che minimizza gli attacchi collegati alla sostituzione degli indirizzi. Utilizzando queste due tecnologie, un webmaster o un cliente possono contattare uno degli operatori delle zone DNS e confermare la validit\u00e0 del certificato in uso.<\/p>\n

Fondamentalmente, DANE agisce come un certificato autofirmato (la cui affidabilit\u00e0 \u00e8 garantita da DNSSEC) e integra le funzioni del CA.<\/p>\n

Come funziona<\/h2>\n

\nLa specifica di DANE \u00e8 descritta in RFC6698<\/a><\/noindex>. Secondo il documento, in record di risorse DNS<\/a><\/noindex> \u00e8 stato aggiunto un nuovo tipo - TLSA. Esso contiene informazioni sul certificato trasmesso, la dimensione e il tipo dei dati inviati, nonch\u00e9 i dati stessi. Il webmaster crea un'impronta digitale del certificato, la firma con DNSSEC e la pubblica in TLSA.<\/p>\n

Il cliente si connette al sito internet e confronta il suo certificato con la \"copia\" ricevuta dall'operatore DNS. Se coincidono, la risorsa \u00e8 considerata fidata.<\/p><\/blockquote>\n

\nNella pagina wiki di DANE viene fornito il seguente esempio di richiesta DNS al server example.org sulla porta TCP 443:<\/p>\n

IN TLSA _443._tcp.example.org<\/code><\/pre>\n
\nLa risposta a questa \u00e8 la seguente:<\/p>\n
 _443._tcp.example.com. IN TLSA (\n   3 0 0 30820307308201efa003020102020... )\n<\/code><\/pre>\n
\nDANE ha diversi estensioni che lavorano con altri record DNS oltre a TLSA. La prima \u00e8 il record DNS SSHFP per la verifica delle chiavi durante le connessioni SSH. Essa \u00e8 descritta in RFC4255<\/a><\/noindex>,\u00a0RFC6594<\/a><\/noindex>\u00a0e\u00a0RFC7479<\/a><\/noindex>. Il secondo \u00e8 una registrazione OPENPGPKEY per lo scambio di chiavi utilizzando PGP (RFC7929<\/a><\/noindex>). Infine, il terzo \u00e8 una registrazione SMIMEA (nel RFC lo standard non \u00e8 formalizzato, c'\u00e8 solo la sua bozza<\/a><\/noindex>) per l'interscambio crittografico delle chiavi tramite S\/MIME.<\/p>\n
Qual \u00e8 il problema con DANE<\/h2>\n
\nA met\u00e0 maggio si \u00e8 tenuta la conferenza DNS-OARC (un'organizzazione non profit che si occupa di questioni relative alla sicurezza, stabilit\u00e0 e sviluppo del sistema dei nomi a dominio). In uno dei panel, gli esperti sono giunti alla conclusione<\/a><\/noindex>, che la tecnologia DANE nei browser ha fallito (almeno nella sua attuale implementazione). Presente alla conferenza, Geoff Huston, principale ricercatore APNIC<\/a><\/noindex>, uno dei cinque registratori di internet regionali, ha commentato<\/a><\/noindex> DANE come una \u00abtecnologia morta\u00bb.<\/p>\n
I browser pi\u00f9 popolari non supportano l'autenticazione dei certificati tramite DANE. Sul mercato ci sono plugin specializzati<\/a><\/noindex>, che espandono la funzionalit\u00e0 dei record TLSA, ma anche il loro supporto sta gradualmente diminuendo.<\/a><\/noindex>.<\/p><\/blockquote>\n
\nI problemi con la diffusione di DANE nei browser sono attribuiti alla durata del processo di validazione tramite DNSSEC. Il sistema \u00e8 costretto a eseguire calcoli crittografici per confermare l'autenticit\u00e0 del certificato SSL e a passare attraverso tutta la catena dei server DNS (dalla zona radice fino al dominio dell'host) al primo collegamento con la risorsa.<\/p>\n
\"C'\u00e8
\n\/ Unsplash \/ Kaley Dykstra<\/a><\/noindex><\/i><\/p>\n
Questa mancanza \u00e8 stata tentata di essere risolta in Mozilla tramite il meccanismo DNSSEC Chain Extension<\/a><\/noindex> per TLS. Doveva ridurre il numero di record DNS che il cliente doveva esaminare durante l'autenticazione. Tuttavia, all'interno del gruppo di sviluppo sono emerse divergenze che non sono riuscite a essere risolte. Alla fine il progetto \u00e8 stato abbandonato, sebbene fosse stato approvato dall'IETF nel marzo 2018.<\/p>\n
Un'altra ragione della bassa popolarit\u00e0 di DANE \u00e8 considerata la scarsa diffusione di DNSSEC nel mondo \u2014 solo il 19% delle risorse<\/a><\/noindex>. Gli esperti hanno ritenuto che questo non fosse sufficiente per una promozione attiva di DANE.<\/p>\n
\u00c8 probabile che l'industria si svilupper\u00e0 in un'altra direzione. Invece di utilizzare DNS per la verifica dei certificati SSL\/TLS, gli attori del mercato, al contrario, promuoveranno i protocolli DNS-over-TLS (DoT) e DNS-over-HTTPS (DoH). Quest'ultimo \u00e8 stato menzionato in uno dei nostri materiali precedenti<\/a><\/noindex> su Habr. Crittografano e controllano le richieste degli utenti ai server DNS, impedendo agli attaccanti di sostituire i dati. All'inizio dell'anno, DoT era gi\u00e0 la tecnologia SDN in cento dei suoi data center situati in diverse parti del mondo.<\/a><\/noindex> in Google per il suo DNS pubblico. Per quanto riguarda DANE, se la tecnologia riuscir\u00e0 a \"ritornare in carreggiata\" e diventare davvero popolare, dovremo aspettare e vedere.<\/p>\n
Cosa abbiamo in pi\u00f9 per una lettura aggiuntiva:<\/b><\/p>\n
\"C'\u00e8 Come automatizzare la gestione dell'infrastruttura IT - discutiamo tre tendenze<\/a><\/noindex>
\n\"C'\u00e8 JMAP \u2014 un protocollo aperto che sostituir\u00e0 IMAP per lo scambio di email<\/a><\/noindex><\/p>\n
\"C'\u00e8 Come risparmiare utilizzando un'interfaccia di programmazione delle applicazioni<\/a><\/noindex>
\n\"C'\u00e8 DevOps nel servizio cloud prendendo come esempio 1cloud.ru<\/a><\/noindex>
\n\"C'\u00e8 Evoluzione dell'architettura cloud 1cloud<\/a><\/noindex><\/p>\n
\"C'\u00e8 Come funziona il supporto tecnico di 1cloud<\/a><\/noindex>
\n\"C'\u00e8 Miti sulle tecnologie cloud<\/a><\/noindex><\/p><\/blockquote>\n
Fonte: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0413\u043e\u0432\u043e\u0440\u0438\u043c \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u0441\u043e\u0431\u043e\u0439 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f DANE \u0434\u043b\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0434\u043e\u043c\u0435\u043d\u043d\u044b\u0445 \u0438\u043c\u0435\u043d \u043f\u043e DNS \u0438 \u043f\u043e\u0447\u0435\u043c\u0443 \u043e\u043d\u0430 \u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0430 \u0448\u0438\u0440\u043e\u043a\u043e\u0433\u043e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430\u0445. \/ Unsplash \/ Paulius Dragunas \u0427\u0442\u043e \u0442\u0430\u043a\u043e\u0435 DANE \u0421\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0435 \u0446\u0435\u043d\u0442\u0440\u044b (CA) \u2014 \u044d\u0442\u043e \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0437\u0430\u043d\u0438\u043c\u0430\u044e\u0442\u0441\u044f \u0443\u0434\u043e\u0441\u0442\u043e\u0432\u0435\u0440\u0435\u043d\u0438\u0435\u043c \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u0438\u0445 SSL-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432. \u041e\u043d\u0438 \u0441\u0442\u0430\u0432\u044f\u0442 \u043d\u0430 \u043d\u0438\u0445 \u0441\u0432\u043e\u044e \u044d\u043b\u0435\u043a\u0442\u0440\u043e\u043d\u043d\u0443\u044e \u043f\u043e\u0434\u043f\u0438\u0441\u044c, \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u044f \u043f\u043e\u0434\u043b\u0438\u043d\u043d\u043e\u0441\u0442\u044c. \u041e\u0434\u043d\u0430\u043a\u043e \u043f\u043e\u0440\u043e\u0439 \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u044e\u0442 \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u0438, […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":26289,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-34921","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47C'\u00e8 un'opinione: la tecnologia DANE per i browser ha fallito | ProHoster","description":"Parliamo di cosa rappresenta la tecnologia DANE per l'autenticazione dei nomi di dominio tramite DNS e perch\u00e9 non ha avuto una diffusione ampia nei browser.","canonical_url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0415\u0441\u0442\u044c \u043c\u043d\u0435\u043d\u0438\u0435: \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f DANE \u0434\u043b\u044f \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u043e\u0432 \u043f\u0440\u043e\u0432\u0430\u043b\u0438\u043b\u0430\u0441\u044c | ProHoster","og:description":"\u0413\u043e\u0432\u043e\u0440\u0438\u043c \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u0441\u043e\u0431\u043e\u0439 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f DANE \u0434\u043b\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0434\u043e\u043c\u0435\u043d\u043d\u044b\u0445 \u0438\u043c\u0435\u043d \u043f\u043e DNS \u0438 \u043f\u043e\u0447\u0435\u043c\u0443 \u043e\u043d\u0430 \u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0430 \u0448\u0438\u0440\u043e\u043a\u043e\u0433\u043e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430\u0445.","og:url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:01:17+00:00","article:modified_time":"2019-10-31T19:01:17+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"34921","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 21:07:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 02:12:28","updated":"2026-01-21 21:07:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/34921","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=34921"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/34921\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media\/26289"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=34921"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=34921"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=34921"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}