ഒരു അഭിപ്രായമുണ്ട്: ബ്രൗസറുകൾക്കായുള്ള DANE സാങ്കേതികവിദ്യ പരാജയപ്പെട്ടു

DNS ഉപയോഗിച്ച് ഡൊമെയ്‌ൻ നാമങ്ങൾ പ്രാമാണീകരിക്കുന്നതിനുള്ള DANE സാങ്കേതികവിദ്യ എന്താണെന്നും ബ്രൗസറുകളിൽ എന്തുകൊണ്ട് ഇത് വ്യാപകമായി ഉപയോഗിക്കപ്പെടുന്നില്ലെന്നും ഞങ്ങൾ സംസാരിക്കുന്നു.

/അൺസ്പ്ലാഷ്/ പോളിയസ് ഡ്രഗുനാസ്

എന്താണ് DANE

സർട്ടിഫിക്കേഷൻ അതോറിറ്റികൾ (CAs) എന്ന സംഘടനയാണ് ഏർപ്പെട്ടിരിക്കുന്നു ക്രിപ്റ്റോഗ്രാഫിക് സർട്ടിഫിക്കറ്റ് SSL സർട്ടിഫിക്കറ്റുകൾ. ആധികാരികത സ്ഥിരീകരിച്ചുകൊണ്ട് അവർ അവരുടെ ഇലക്ട്രോണിക് ഒപ്പ് അവയിൽ ഇട്ടു. എന്നിരുന്നാലും, ലംഘനങ്ങളുള്ള സർട്ടിഫിക്കറ്റുകൾ നൽകുമ്പോൾ ചിലപ്പോൾ സാഹചര്യങ്ങൾ ഉണ്ടാകുന്നു. ഉദാഹരണത്തിന്, കഴിഞ്ഞ വർഷം ഗൂഗിൾ സിമാൻടെക് സർട്ടിഫിക്കറ്റുകൾക്കായി ഒരു “ഡിട്രസ്റ്റ് നടപടിക്രമം” ആരംഭിച്ചു (ഞങ്ങൾ ഈ സ്റ്റോറി ഞങ്ങളുടെ ബ്ലോഗിൽ വിശദമായി ഉൾപ്പെടുത്തിയിട്ടുണ്ട് - തവണ и два).

ഇത്തരം സാഹചര്യങ്ങൾ ഒഴിവാക്കാൻ വർഷങ്ങൾക്കുമുമ്പ് ഐ.ഇ.ടി.എഫ് വികസിപ്പിക്കാൻ തുടങ്ങി DANE സാങ്കേതികവിദ്യ (പക്ഷേ ഇത് ബ്രൗസറുകളിൽ വ്യാപകമായി ഉപയോഗിക്കപ്പെടുന്നില്ല - എന്തുകൊണ്ടാണ് ഇത് സംഭവിച്ചതെന്ന് ഞങ്ങൾ പിന്നീട് സംസാരിക്കും).

SSL സർട്ടിഫിക്കറ്റുകളുടെ സാധുത നിയന്ത്രിക്കുന്നതിന് DNSSEC (നെയിം സിസ്റ്റം സെക്യൂരിറ്റി എക്സ്റ്റൻഷനുകൾ) ഉപയോഗിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്ന ഒരു കൂട്ടം സ്പെസിഫിക്കേഷനാണ് DANE (Named Entities-ന്റെ DNS അടിസ്ഥാനമാക്കിയുള്ള പ്രാമാണീകരണം). DNSSEC എന്നത് ഡൊമെയ്‌ൻ നെയിം സിസ്റ്റത്തിലേക്കുള്ള ഒരു വിപുലീകരണമാണ്, അത് അഡ്രസ് സ്പൂഫിംഗ് ആക്രമണങ്ങൾ കുറയ്ക്കുന്നു. ഈ രണ്ട് സാങ്കേതികവിദ്യകൾ ഉപയോഗിച്ച്, ഒരു വെബ്‌മാസ്റ്റർ അല്ലെങ്കിൽ ക്ലയന്റിന് DNS സോൺ ഓപ്പറേറ്റർമാരിൽ ഒരാളെ ബന്ധപ്പെടാനും ഉപയോഗിക്കുന്ന സർട്ടിഫിക്കറ്റിന്റെ സാധുത സ്ഥിരീകരിക്കാനും കഴിയും.

അടിസ്ഥാനപരമായി, DANE ഒരു സ്വയം ഒപ്പിട്ട സർട്ടിഫിക്കറ്റായി പ്രവർത്തിക്കുന്നു (അതിന്റെ വിശ്വാസ്യതയുടെ ഉറപ്പ് DNSSEC ആണ്) കൂടാതെ ഒരു CA യുടെ പ്രവർത്തനങ്ങൾ പൂർത്തീകരിക്കുകയും ചെയ്യുന്നു.

എങ്ങനെ പ്രവർത്തിക്കുന്നില്ല

DANE സ്പെസിഫിക്കേഷൻ വിവരിച്ചിരിക്കുന്നു RFC6698. പ്രമാണം അനുസരിച്ച്, ഇൻ DNS റിസോഴ്സ് റെക്കോർഡുകൾ ഒരു പുതിയ തരം ചേർത്തു - TLSA. കൈമാറ്റം ചെയ്യപ്പെടുന്ന സർട്ടിഫിക്കറ്റ്, കൈമാറ്റം ചെയ്യപ്പെടുന്ന ഡാറ്റയുടെ വലുപ്പവും തരവും, അതുപോലെ തന്നെ ഡാറ്റ എന്നിവയെക്കുറിച്ചുള്ള വിവരങ്ങൾ ഇതിൽ അടങ്ങിയിരിക്കുന്നു. വെബ്‌മാസ്റ്റർ സർട്ടിഫിക്കറ്റിന്റെ ഡിജിറ്റൽ പെരുവിരലടയാളം സൃഷ്‌ടിക്കുകയും DNSSEC ഉപയോഗിച്ച് ഒപ്പിടുകയും TLSA-യിൽ സ്ഥാപിക്കുകയും ചെയ്യുന്നു.

ക്ലയന്റ് ഇൻറർനെറ്റിലെ ഒരു സൈറ്റിലേക്ക് ബന്ധിപ്പിക്കുകയും അതിന്റെ സർട്ടിഫിക്കറ്റ് DNS ഓപ്പറേറ്ററിൽ നിന്ന് ലഭിച്ച "പകർപ്പ്" ഉപയോഗിച്ച് താരതമ്യം ചെയ്യുകയും ചെയ്യുന്നു. അവ പൊരുത്തപ്പെടുന്നുവെങ്കിൽ, ഉറവിടം വിശ്വസനീയമായി കണക്കാക്കപ്പെടുന്നു.

DANE വിക്കി പേജ് TCP പോർട്ട് 443-ൽ example.org-ലേക്കുള്ള DNS അഭ്യർത്ഥനയുടെ ഇനിപ്പറയുന്ന ഉദാഹരണം നൽകുന്നു:

IN TLSA _443._tcp.example.org

ഉത്തരം ഇതുപോലെ കാണപ്പെടുന്നു:

 _443._tcp.example.com. IN TLSA (
   3 0 0 30820307308201efa003020102020... )

TLSA ഒഴികെയുള്ള DNS റെക്കോർഡുകൾക്കൊപ്പം പ്രവർത്തിക്കുന്ന നിരവധി വിപുലീകരണങ്ങൾ DANE-നുണ്ട്. ആദ്യത്തേത് SSH കണക്ഷനുകളിലെ കീകൾ സാധൂകരിക്കുന്നതിനുള്ള SSHFP DNS റെക്കോർഡാണ്. അതിൽ വിവരിച്ചിരിക്കുന്നു RFC4255, RFC6594 и RFC7479. രണ്ടാമത്തേത് പിജിപി ഉപയോഗിച്ച് കീ എക്സ്ചേഞ്ചിനുള്ള OPENPGPKEY എൻട്രിയാണ് (RFC7929). അവസാനമായി, മൂന്നാമത്തേത് SMIMEA റെക്കോർഡാണ് (ആർഎഫ്‌സിയിൽ സ്റ്റാൻഡേർഡ് ഫോർമലൈസ് ചെയ്തിട്ടില്ല, ഉണ്ട് അതിന്റെ ഒരു കരട് മാത്രം) S/MIME വഴിയുള്ള ക്രിപ്‌റ്റോഗ്രാഫിക് കീ കൈമാറ്റത്തിനായി.

DANE ന് എന്താണ് പ്രശ്നം

മെയ് മധ്യത്തിൽ, DNS-OARC കോൺഫറൻസ് നടന്നു (ഇത് ഡൊമെയ്ൻ നെയിം സിസ്റ്റത്തിന്റെ സുരക്ഷ, സ്ഥിരത, വികസനം എന്നിവ കൈകാര്യം ചെയ്യുന്ന ഒരു ലാഭേച്ഛയില്ലാത്ത സ്ഥാപനമാണ്). പാനലുകളിലൊന്നിൽ വിദഗ്ധർ നിഗമനത്തിലെത്തിബ്രൗസറുകളിലെ DANE സാങ്കേതികവിദ്യ പരാജയപ്പെട്ടുവെന്ന് (കുറഞ്ഞത് അതിന്റെ നിലവിലെ നിർവ്വഹണത്തിലെങ്കിലും). പ്രമുഖ ഗവേഷണ ശാസ്ത്രജ്ഞനായ ജെഫ് ഹസ്റ്റൺ കോൺഫറൻസിൽ പങ്കെടുക്കുക APnic, അഞ്ച് പ്രാദേശിക ഇന്റർനെറ്റ് രജിസ്ട്രാർമാരിൽ ഒരാൾ, പ്രതികരിച്ചു ഒരു "ഡെഡ് ടെക്നോളജി" ആയി DANE നെ കുറിച്ച്.

ജനപ്രിയ ബ്രൗസറുകൾ DANE ഉപയോഗിച്ചുള്ള സർട്ടിഫിക്കറ്റ് പ്രാമാണീകരണത്തെ പിന്തുണയ്ക്കുന്നില്ല. ചന്തയിൽ പ്രത്യേക പ്ലഗിനുകൾ ഉണ്ട്, ഇത് TLSA റെക്കോർഡുകളുടെ പ്രവർത്തനക്ഷമത വെളിപ്പെടുത്തുന്നു, മാത്രമല്ല അവയുടെ പിന്തുണയും ക്രമേണ നിർത്തുക.

ബ്രൗസറുകളിലെ DANE വിതരണത്തിലെ പ്രശ്നങ്ങൾ DNSSEC മൂല്യനിർണ്ണയ പ്രക്രിയയുടെ ദൈർഘ്യവുമായി ബന്ധപ്പെട്ടിരിക്കുന്നു. SSL സർട്ടിഫിക്കറ്റിന്റെ ആധികാരികത സ്ഥിരീകരിക്കുന്നതിന് ക്രിപ്‌റ്റോഗ്രാഫിക് കണക്കുകൂട്ടലുകൾ നടത്താൻ സിസ്റ്റം നിർബന്ധിതരാകുന്നു, കൂടാതെ ഒരു റിസോഴ്‌സിലേക്ക് ആദ്യം കണക്‌റ്റ് ചെയ്യുമ്പോൾ DNS സെർവറുകളുടെ മുഴുവൻ ശൃംഖലയിലൂടെയും (റൂട്ട് സോണിൽ നിന്ന് ഹോസ്റ്റ് ഡൊമെയ്‌നിലേക്ക്) പോകുക.

/അൺസ്പ്ലാഷ്/ കാലി ഡൈക്സ്ട്ര

മെക്കാനിസം ഉപയോഗിച്ച് ഈ പോരായ്മ ഇല്ലാതാക്കാൻ മോസില്ല ശ്രമിച്ചു DNSSEC ചെയിൻ വിപുലീകരണം TLS-ന്. ആധികാരികത ഉറപ്പാക്കുന്ന സമയത്ത് ക്ലയന്റ് തിരയേണ്ട DNS റെക്കോർഡുകളുടെ എണ്ണം ഇത് കുറയ്ക്കേണ്ടതായിരുന്നു. എന്നിരുന്നാലും, വികസന ഗ്രൂപ്പിനുള്ളിൽ അഭിപ്രായവ്യത്യാസങ്ങൾ ഉടലെടുത്തു, അത് പരിഹരിക്കാൻ കഴിഞ്ഞില്ല. തൽഫലമായി, 2018 മാർച്ചിൽ IETF അംഗീകരിച്ചെങ്കിലും പദ്ധതി ഉപേക്ഷിക്കപ്പെട്ടു.

DANE-ന്റെ ജനപ്രീതി കുറയാനുള്ള മറ്റൊരു കാരണം, ലോകത്ത് DNSSEC-യുടെ വ്യാപനം കുറവാണ് - 19% വിഭവങ്ങൾ മാത്രമേ ഇത് ഉപയോഗിച്ച് പ്രവർത്തിക്കൂ. DANE നെ സജീവമായി പ്രോത്സാഹിപ്പിക്കുന്നതിന് ഇത് പര്യാപ്തമല്ലെന്ന് വിദഗ്ധർ കരുതി.

മിക്കവാറും, വ്യവസായം മറ്റൊരു ദിശയിൽ വികസിക്കും. SSL/TLS സർട്ടിഫിക്കറ്റുകൾ പരിശോധിക്കാൻ DNS ഉപയോഗിക്കുന്നതിന് പകരം, മാർക്കറ്റ് പ്ലെയർമാർ DNS-over-TLS (DoT), DNS-over-HTTPS (DoH) പ്രോട്ടോക്കോളുകൾ പ്രോത്സാഹിപ്പിക്കും. ഞങ്ങളുടെ ഒരെണ്ണത്തിൽ ഞങ്ങൾ രണ്ടാമത്തേത് പരാമർശിച്ചു മുമ്പത്തെ മെറ്റീരിയലുകൾ ഹബ്രെയിൽ. അവർ DNS സെർവറിലേക്കുള്ള ഉപയോക്തൃ അഭ്യർത്ഥനകൾ എൻക്രിപ്റ്റ് ചെയ്യുകയും സ്ഥിരീകരിക്കുകയും ചെയ്യുന്നു, ആക്രമണകാരികളെ ഡാറ്റ കബളിപ്പിക്കുന്നതിൽ നിന്ന് തടയുന്നു. വർഷത്തിന്റെ തുടക്കത്തിൽ, DoT ഇതിനകം തന്നെ ആയിരുന്നു നടപ്പിലാക്കി Google-ലേക്ക് അതിന്റെ പൊതു DNS. DANE-നെ സംബന്ധിച്ചിടത്തോളം, സാങ്കേതികവിദ്യയ്ക്ക് "സാഡിലിലേക്ക് തിരികെയെത്താൻ" കഴിയുമോ എന്നും ഇപ്പോഴും വ്യാപകമാകുമോ എന്നത് ഭാവിയിൽ കാണേണ്ടിയിരിക്കുന്നു.

തുടർ വായനയ്ക്കായി നമുക്ക് മറ്റെന്താണ്:

ഐടി ഇൻഫ്രാസ്ട്രക്ചർ മാനേജ്മെന്റ് എങ്ങനെ ഓട്ടോമേറ്റ് ചെയ്യാം - മൂന്ന് ട്രെൻഡുകൾ ചർച്ച ചെയ്യുന്നു
JMAP - ഇമെയിലുകൾ കൈമാറുമ്പോൾ IMAP-നെ മാറ്റിസ്ഥാപിക്കുന്ന ഒരു ഓപ്പൺ പ്രോട്ടോക്കോൾ

ഒരു ആപ്ലിക്കേഷൻ പ്രോഗ്രാമിംഗ് ഇന്റർഫേസ് ഉപയോഗിച്ച് എങ്ങനെ സംരക്ഷിക്കാം
1cloud.ru ന്റെ ഉദാഹരണം ഉപയോഗിച്ച് ഒരു ക്ലൗഡ് സേവനത്തിലെ DevOps
1 ക്ലൗഡ് ക്ലൗഡ് ആർക്കിടെക്ചറിന്റെ പരിണാമം

1Cloud സാങ്കേതിക പിന്തുണ എങ്ങനെയാണ് പ്രവർത്തിക്കുന്നത്?
ക്ലൗഡ് സാങ്കേതികവിദ്യകളെക്കുറിച്ചുള്ള മിഥ്യാധാരണകൾ

അവലംബം: www.habr.com