មានមតិមួយ៖ បច្ចេកវិទ្យា DANE សម្រាប់ browsers បានបរាជ័យ

យើងនិយាយអំពីអ្វីដែលបច្ចេកវិទ្យា DANE គឺសម្រាប់ការផ្ទៀងផ្ទាត់ឈ្មោះដែនដោយប្រើ DNS និងហេតុអ្វីបានជាវាមិនត្រូវបានគេប្រើយ៉ាងទូលំទូលាយនៅក្នុងកម្មវិធីរុករក។

/Unsplash/ Paulius Dragunas

តើអ្វីទៅជា DANE

អាជ្ញាធរបញ្ជាក់ (CAs) គឺជាអង្គការដែល ត្រូវបានភ្ជាប់ពាក្យ វិញ្ញាបនបត្រគ្រីប វិញ្ញាបនបត្រ SSL. ពួកគេដាក់ហត្ថលេខាអេឡិចត្រូនិកលើពួកគេ ដោយបញ្ជាក់ពីភាពត្រឹមត្រូវរបស់ពួកគេ។ ទោះយ៉ាងណាក៏ដោយ ពេលខ្លះស្ថានភាពកើតឡើងនៅពេលដែលវិញ្ញាបនបត្រត្រូវបានចេញដោយមានការបំពាន។ ជាឧទាហរណ៍ កាលពីឆ្នាំមុន Google បានផ្តួចផ្តើម "នីតិវិធីមិនទុកចិត្ត" សម្រាប់វិញ្ញាបនបត្រ Symantec ដោយសារតែការសម្របសម្រួលរបស់ពួកគេ (យើងបានគ្របដណ្តប់រឿងនេះយ៉ាងលម្អិតនៅក្នុងប្លុករបស់យើង - ដង и два).

ដើម្បីជៀសវាងស្ថានភាពបែបនេះជាច្រើនឆ្នាំមុន IETF បានចាប់ផ្តើមអភិវឌ្ឍ បច្ចេកវិទ្យា DANE (ប៉ុន្តែវាមិនត្រូវបានប្រើប្រាស់យ៉ាងទូលំទូលាយនៅក្នុងកម្មវិធីរុករកទេ - យើងនឹងនិយាយអំពីមូលហេតុដែលវាកើតឡើងនៅពេលក្រោយ)។

DANE (DNS-based Authentication of Named Entities) គឺជាសំណុំនៃការបញ្ជាក់ដែលអនុញ្ញាតឱ្យអ្នកប្រើ DNSSEC (Name System Security Extensions) ដើម្បីគ្រប់គ្រងសុពលភាពនៃវិញ្ញាបនបត្រ SSL ។ DNSSEC គឺជាផ្នែកបន្ថែមមួយទៅកាន់ប្រព័ន្ធ Domain Name ដែលកាត់បន្ថយការវាយប្រហារក្លែងបន្លំអាសយដ្ឋាន។ ដោយប្រើបច្ចេកវិទ្យាទាំងពីរនេះ អ្នកគ្រប់គ្រងគេហទំព័រ ឬម៉ាស៊ីនភ្ញៀវអាចទាក់ទងប្រតិបត្តិករតំបន់ DNS និងបញ្ជាក់ពីសុពលភាពនៃវិញ្ញាបនបត្រដែលកំពុងប្រើប្រាស់។

សំខាន់ DANE ដើរតួជាវិញ្ញាបនបត្រដែលចុះហត្ថលេខាដោយខ្លួនឯង (អ្នកធានានៃភាពជឿជាក់របស់វាគឺ DNSSEC) និងបំពេញមុខងាររបស់ CA ។

តើការងារនេះ

ការបញ្ជាក់របស់ DANE ត្រូវបានពិពណ៌នានៅក្នុង RFC6698. យោងទៅតាមឯកសារនៅក្នុង កំណត់ត្រាធនធាន DNS ប្រភេទថ្មីមួយត្រូវបានបន្ថែម - TLSA ។ វាមានព័ត៌មានអំពីវិញ្ញាបនបត្រដែលកំពុងផ្ទេរ ទំហំ និងប្រភេទនៃទិន្នន័យដែលកំពុងផ្ទេរ ក៏ដូចជាទិន្នន័យខ្លួនឯងផងដែរ។ អ្នកគ្រប់គ្រងគេហទំព័របង្កើតស្នាមមេដៃឌីជីថលនៃវិញ្ញាបនបត្រ ចុះហត្ថលេខាជាមួយ DNSSEC ហើយដាក់វានៅក្នុង TLSA ។

ម៉ាស៊ីនភ្ញៀវភ្ជាប់ទៅគេហទំព័រនៅលើអ៊ីនធឺណិត ហើយប្រៀបធៀបវិញ្ញាបនបត្ររបស់វាជាមួយនឹង "ច្បាប់ចម្លង" ដែលទទួលបានពីប្រតិបត្តិករ DNS ។ ប្រសិនបើពួកគេត្រូវគ្នា នោះធនធានត្រូវបានចាត់ទុកថាជឿទុកចិត្ត។

ទំព័រវិគី DANE ផ្តល់នូវឧទាហរណ៍ខាងក្រោមនៃសំណើ DNS ទៅកាន់ example.org នៅលើច្រក TCP 443៖

IN TLSA _443._tcp.example.org

ចម្លើយមើលទៅដូចនេះ៖

 _443._tcp.example.com. IN TLSA (
   3 0 0 30820307308201efa003020102020... )

DANE មានផ្នែកបន្ថែមជាច្រើនដែលធ្វើការជាមួយ DNS records ក្រៅពី TLSA ។ ទីមួយគឺជាកំណត់ត្រា SSHFP DNS សម្រាប់សុពលភាពសោនៅលើការតភ្ជាប់ SSH ។ វាត្រូវបានពិពណ៌នានៅក្នុង RFC4255, RFC6594 и RFC7479. ទីពីរគឺជាធាតុ OPENPGPKEY សម្រាប់ការផ្លាស់ប្តូរសោដោយប្រើ PGP (RFC7929) ទីបំផុតទីបីគឺជាកំណត់ត្រា SMIMEA (ស្តង់ដារមិនត្រូវបានធ្វើជាផ្លូវការនៅក្នុង RFC ទេ។ គ្រាន់តែជាសេចក្តីព្រាងរបស់វា។) សម្រាប់ការផ្លាស់ប្តូរសោគ្រីបតាមរយៈ S/MIME ។

តើ DANE មានបញ្ហាអ្វី?

នៅពាក់កណ្តាលខែឧសភា សន្និសិទ DNS-OARC ត្រូវបានប្រារព្ធឡើង (នេះគឺជាអង្គការមិនរកប្រាក់ចំណេញដែលទាក់ទងនឹងសុវត្ថិភាព ស្ថេរភាព និងការអភិវឌ្ឍន៍ប្រព័ន្ធឈ្មោះដែន)។ អ្នកជំនាញនៅលើបន្ទះមួយ។ ឈានដល់ការសន្និដ្ឋានថាបច្ចេកវិទ្យា DANE នៅក្នុងកម្មវិធីរុករកបានបរាជ័យ (យ៉ាងហោចណាស់នៅក្នុងការអនុវត្តបច្ចុប្បន្នរបស់វា)។ មានវត្តមាននៅក្នុងសន្និសិទ Geoff Huston អ្នកស្រាវជ្រាវនាំមុខគេ អាភីនីកដែលជាអ្នកចុះឈ្មោះអ៊ីនធឺណេតក្នុងតំបន់ចំនួនប្រាំ។ បានឆ្លើយតប អំពី DANE ជា "បច្ចេកវិទ្យាស្លាប់" ។

កម្មវិធីរុករកពេញនិយមមិនគាំទ្រការផ្ទៀងផ្ទាត់វិញ្ញាបនបត្រដោយប្រើ DANE ទេ។ នៅលើទីផ្សារ មានកម្មវិធីជំនួយពិសេសដែលបង្ហាញពីមុខងារនៃកំណត់ត្រា TLSA ប៉ុន្តែក៏មានការគាំទ្ររបស់ពួកគេផងដែរ។ បញ្ឈប់ជាបណ្តើរៗ.

បញ្ហាជាមួយនឹងការចែកចាយ DANE នៅក្នុងកម្មវិធីរុករកត្រូវបានផ្សារភ្ជាប់ជាមួយនឹងរយៈពេលនៃដំណើរការសុពលភាព DNSSEC ។ ប្រព័ន្ធនេះត្រូវបានបង្ខំឱ្យធ្វើការគណនាគ្រីបគ្រីបដើម្បីបញ្ជាក់ពីភាពត្រឹមត្រូវនៃវិញ្ញាបនបត្រ SSL និងឆ្លងកាត់ខ្សែសង្វាក់ទាំងមូលនៃម៉ាស៊ីនមេ DNS (ពីតំបន់ root ទៅដែនម៉ាស៊ីន) នៅពេលភ្ជាប់ទៅធនធានដំបូង។

/Unsplash/ កាឡី ឌីកស្ត្រា

Mozilla បានព្យាយាមលុបបំបាត់គុណវិបត្តិនេះដោយប្រើយន្តការ ផ្នែកបន្ថែមខ្សែសង្វាក់ DNSSEC សម្រាប់ TLS ។ វាត្រូវបានគេសន្មត់ថាកាត់បន្ថយចំនួន DNS records ដែលអតិថិជនត្រូវរកមើលកំឡុងពេលផ្ទៀងផ្ទាត់។ ទោះយ៉ាងណាក៏ដោយ ការខ្វែងគំនិតគ្នាបានកើតឡើងនៅក្នុងក្រុមអភិវឌ្ឍន៍ដែលមិនអាចដោះស្រាយបាន។ ជាលទ្ធផល គម្រោងនេះត្រូវបានបោះបង់ចោល ទោះបីជាវាត្រូវបានអនុម័តដោយ IETF ក្នុងខែមីនា ឆ្នាំ 2018 ក៏ដោយ។

ហេតុផលមួយទៀតសម្រាប់ប្រជាប្រិយភាពទាបរបស់ DANE គឺអត្រាប្រេវ៉ាឡង់ទាបនៃ DNSSEC នៅលើពិភពលោក - មានតែ 19% នៃធនធានដែលធ្វើការជាមួយវា។. អ្នកជំនាញយល់ថានេះមិនគ្រប់គ្រាន់ទេក្នុងការផ្សព្វផ្សាយយ៉ាងសកម្ម DANE ។

ភាគច្រើនទំនងជាឧស្សាហកម្មនេះនឹងអភិវឌ្ឍក្នុងទិសដៅផ្សេង។ ជំនួសឱ្យការប្រើ DNS ដើម្បីផ្ទៀងផ្ទាត់វិញ្ញាបនបត្រ SSL/TLS អ្នកលេងទីផ្សារនឹងផ្សព្វផ្សាយពិធីការ DNS-over-TLS (DoT) និង DNS-over-HTTPS (DoH) ជំនួសវិញ។ យើង​បាន​លើក​ឡើង​ក្រោយ​មក​នៅ​ក្នុង​មួយ​របស់​យើង​ សម្ភារៈពីមុន នៅលើ Habre ។ ពួកគេអ៊ិនគ្រីប និងផ្ទៀងផ្ទាត់សំណើរបស់អ្នកប្រើទៅកាន់ម៉ាស៊ីនមេ DNS ដោយការពារអ្នកវាយប្រហារពីការក្លែងបន្លំទិន្នន័យ។ នៅដើមឆ្នាំ DoT មានរួចហើយ បានអនុវត្ត ទៅ Google សម្រាប់ DNS សាធារណៈរបស់វា។ សម្រាប់ DANE ថាតើបច្ចេកវិទ្យានឹងអាច "ត្រលប់ទៅក្នុងកែប" ហើយនៅតែរីករាលដាល នៅតែត្រូវមើលឃើញនាពេលអនាគត។

តើមានអ្វីទៀតដែលយើងមានសម្រាប់អានបន្ថែម៖

របៀបគ្រប់គ្រងហេដ្ឋារចនាសម្ព័ន្ធ IT ដោយស្វ័យប្រវត្តិ - ពិភាក្សាអំពីនិន្នាការចំនួនបី
JMAP - ពិធីការបើកចំហដែលនឹងជំនួស IMAP នៅពេលផ្លាស់ប្តូរអ៊ីមែល

របៀបរក្សាទុកជាមួយចំណុចប្រទាក់កម្មវិធីកម្មវិធី
DevOps នៅក្នុងសេវាកម្មពពកដោយប្រើឧទាហរណ៍ 1cloud.ru
ការវិវត្តន៍នៃស្ថាបត្យកម្មពពក 1cloud

តើជំនួយបច្ចេកទេស 1cloud ដំណើរការយ៉ាងដូចម្តេច?
ទេវកថាអំពីបច្ចេកវិទ្យាពពក

ប្រភព: www.habr.com