ਇੱਕ ਰਾਏ ਹੈ: ਬ੍ਰਾਊਜ਼ਰਾਂ ਲਈ DANE ਤਕਨਾਲੋਜੀ ਅਸਫਲ ਹੋ ਗਈ ਹੈ

ਅਸੀਂ ਇਸ ਬਾਰੇ ਗੱਲ ਕਰਦੇ ਹਾਂ ਕਿ DNS ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਡੋਮੇਨ ਨਾਮਾਂ ਨੂੰ ਪ੍ਰਮਾਣਿਤ ਕਰਨ ਲਈ DANE ਤਕਨਾਲੋਜੀ ਕੀ ਹੈ ਅਤੇ ਇਹ ਬ੍ਰਾਊਜ਼ਰਾਂ ਵਿੱਚ ਵਿਆਪਕ ਤੌਰ 'ਤੇ ਕਿਉਂ ਨਹੀਂ ਵਰਤੀ ਜਾਂਦੀ ਹੈ।

/ਅਨਸਪਲੈਸ਼/ ਪੌਲੀਅਸ ਡਰੈਗੁਨਸ

DANE ਕੀ ਹੈ

ਸਰਟੀਫਿਕੇਸ਼ਨ ਅਥਾਰਟੀਜ਼ (CAs) ਉਹ ਸੰਸਥਾਵਾਂ ਹਨ ਜੋ ਲੱਗੇ ਹੋਏ ਹਨ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਸਰਟੀਫਿਕੇਟ SSL ਸਰਟੀਫਿਕੇਟ. ਉਹਨਾਂ ਨੇ ਉਹਨਾਂ 'ਤੇ ਆਪਣੇ ਇਲੈਕਟ੍ਰਾਨਿਕ ਦਸਤਖਤ ਲਗਾਏ, ਉਹਨਾਂ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਦੀ ਪੁਸ਼ਟੀ ਕੀਤੀ। ਹਾਲਾਂਕਿ, ਕਈ ਵਾਰ ਅਜਿਹੀਆਂ ਸਥਿਤੀਆਂ ਪੈਦਾ ਹੁੰਦੀਆਂ ਹਨ ਜਦੋਂ ਸਰਟੀਫਿਕੇਟ ਉਲੰਘਣਾ ਦੇ ਨਾਲ ਜਾਰੀ ਕੀਤੇ ਜਾਂਦੇ ਹਨ। ਉਦਾਹਰਨ ਲਈ, ਪਿਛਲੇ ਸਾਲ ਗੂਗਲ ਨੇ ਸਿਮੈਨਟੇਕ ਸਰਟੀਫਿਕੇਟਾਂ ਲਈ ਉਹਨਾਂ ਦੇ ਸਮਝੌਤਾ ਦੇ ਕਾਰਨ ਇੱਕ "ਅਵਿਸ਼ਵਾਸ ਪ੍ਰਕਿਰਿਆ" ਸ਼ੁਰੂ ਕੀਤੀ ਸੀ (ਅਸੀਂ ਇਸ ਕਹਾਣੀ ਨੂੰ ਆਪਣੇ ਬਲੌਗ ਵਿੱਚ ਵਿਸਥਾਰ ਵਿੱਚ ਕਵਰ ਕੀਤਾ ਸੀ - ਵਾਰ и два).

ਅਜਿਹੀਆਂ ਸਥਿਤੀਆਂ ਤੋਂ ਬਚਣ ਲਈ ਕਈ ਸਾਲ ਪਹਿਲਾਂ ਆਈ.ਈ.ਟੀ.ਐੱਫ ਵਿਕਾਸ ਕਰਨਾ ਸ਼ੁਰੂ ਕੀਤਾ DANE ਤਕਨਾਲੋਜੀ (ਪਰ ਇਹ ਬ੍ਰਾਊਜ਼ਰਾਂ ਵਿੱਚ ਵਿਆਪਕ ਤੌਰ 'ਤੇ ਨਹੀਂ ਵਰਤੀ ਜਾਂਦੀ - ਅਸੀਂ ਇਸ ਬਾਰੇ ਬਾਅਦ ਵਿੱਚ ਗੱਲ ਕਰਾਂਗੇ ਕਿ ਅਜਿਹਾ ਕਿਉਂ ਹੋਇਆ)।

DANE (ਨਾਮ ਵਾਲੀਆਂ ਇਕਾਈਆਂ ਦਾ DNS- ਅਧਾਰਤ ਪ੍ਰਮਾਣਿਕਤਾ) ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਦਾ ਇੱਕ ਸਮੂਹ ਹੈ ਜੋ ਤੁਹਾਨੂੰ SSL ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਵੈਧਤਾ ਨੂੰ ਨਿਯੰਤਰਿਤ ਕਰਨ ਲਈ DNSSEC (ਨਾਮ ਸਿਸਟਮ ਸੁਰੱਖਿਆ ਐਕਸਟੈਂਸ਼ਨਾਂ) ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। DNSSEC ਡੋਮੇਨ ਨਾਮ ਸਿਸਟਮ ਦਾ ਇੱਕ ਐਕਸਟੈਂਸ਼ਨ ਹੈ ਜੋ ਐਡਰੈੱਸ ਸਪੂਫਿੰਗ ਹਮਲਿਆਂ ਨੂੰ ਘੱਟ ਕਰਦਾ ਹੈ। ਇਹਨਾਂ ਦੋ ਤਕਨੀਕਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ, ਇੱਕ ਵੈਬਮਾਸਟਰ ਜਾਂ ਕਲਾਇੰਟ DNS ਜ਼ੋਨ ਆਪਰੇਟਰਾਂ ਵਿੱਚੋਂ ਇੱਕ ਨਾਲ ਸੰਪਰਕ ਕਰ ਸਕਦਾ ਹੈ ਅਤੇ ਵਰਤੇ ਜਾ ਰਹੇ ਸਰਟੀਫਿਕੇਟ ਦੀ ਵੈਧਤਾ ਦੀ ਪੁਸ਼ਟੀ ਕਰ ਸਕਦਾ ਹੈ।

ਲਾਜ਼ਮੀ ਤੌਰ 'ਤੇ, DANE ਇੱਕ ਸਵੈ-ਦਸਤਖਤ ਸਰਟੀਫਿਕੇਟ (ਇਸਦੀ ਭਰੋਸੇਯੋਗਤਾ ਦਾ ਗਾਰੰਟਰ DNSSEC ਹੈ) ਵਜੋਂ ਕੰਮ ਕਰਦਾ ਹੈ ਅਤੇ ਇੱਕ CA ਦੇ ਕਾਰਜਾਂ ਨੂੰ ਪੂਰਾ ਕਰਦਾ ਹੈ।

ਇਹ ਕੰਮ ਕਰਦਾ ਹੈ

DANE ਨਿਰਧਾਰਨ ਵਿੱਚ ਵਰਣਨ ਕੀਤਾ ਗਿਆ ਹੈ ਆਰਐਫਸੀ 6698. ਦਸਤਾਵੇਜ਼ ਦੇ ਅਨੁਸਾਰ, ਵਿੱਚ DNS ਸਰੋਤ ਰਿਕਾਰਡ ਇੱਕ ਨਵੀਂ ਕਿਸਮ ਸ਼ਾਮਲ ਕੀਤੀ ਗਈ - TLSA। ਇਸ ਵਿੱਚ ਟਰਾਂਸਫਰ ਕੀਤੇ ਜਾ ਰਹੇ ਸਰਟੀਫਿਕੇਟ, ਟ੍ਰਾਂਸਫਰ ਕੀਤੇ ਜਾਣ ਵਾਲੇ ਡੇਟਾ ਦੇ ਆਕਾਰ ਅਤੇ ਕਿਸਮ ਦੇ ਨਾਲ-ਨਾਲ ਖੁਦ ਡੇਟਾ ਬਾਰੇ ਜਾਣਕਾਰੀ ਸ਼ਾਮਲ ਹੈ। ਵੈਬਮਾਸਟਰ ਸਰਟੀਫਿਕੇਟ ਦਾ ਇੱਕ ਡਿਜੀਟਲ ਥੰਬਪ੍ਰਿੰਟ ਬਣਾਉਂਦਾ ਹੈ, ਇਸਨੂੰ DNSSEC ਨਾਲ ਹਸਤਾਖਰ ਕਰਦਾ ਹੈ, ਅਤੇ ਇਸਨੂੰ TLSA ਵਿੱਚ ਰੱਖਦਾ ਹੈ।

ਕਲਾਇੰਟ ਇੰਟਰਨੈੱਟ 'ਤੇ ਕਿਸੇ ਸਾਈਟ ਨਾਲ ਜੁੜਦਾ ਹੈ ਅਤੇ ਇਸਦੇ ਸਰਟੀਫਿਕੇਟ ਦੀ ਤੁਲਨਾ DNS ਆਪਰੇਟਰ ਤੋਂ ਪ੍ਰਾਪਤ "ਕਾਪੀ" ਨਾਲ ਕਰਦਾ ਹੈ। ਜੇਕਰ ਉਹ ਮੇਲ ਖਾਂਦੇ ਹਨ, ਤਾਂ ਸਰੋਤ ਨੂੰ ਭਰੋਸੇਯੋਗ ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ।

DANE ਵਿਕੀ ਪੰਨਾ TCP ਪੋਰਟ 443 'ਤੇ example.org ਲਈ ਇੱਕ DNS ਬੇਨਤੀ ਦੀ ਹੇਠ ਦਿੱਤੀ ਉਦਾਹਰਣ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ:

IN TLSA _443._tcp.example.org

ਜਵਾਬ ਇਸ ਤਰ੍ਹਾਂ ਦਿਸਦਾ ਹੈ:

 _443._tcp.example.com. IN TLSA (
   3 0 0 30820307308201efa003020102020... )

DANE ਦੀਆਂ ਕਈ ਐਕਸਟੈਂਸ਼ਨਾਂ ਹਨ ਜੋ TLSA ਤੋਂ ਇਲਾਵਾ DNS ਰਿਕਾਰਡਾਂ ਨਾਲ ਕੰਮ ਕਰਦੀਆਂ ਹਨ। ਪਹਿਲਾ SSH ਕੁਨੈਕਸ਼ਨਾਂ 'ਤੇ ਕੁੰਜੀਆਂ ਨੂੰ ਪ੍ਰਮਾਣਿਤ ਕਰਨ ਲਈ SSHFP DNS ਰਿਕਾਰਡ ਹੈ। ਇਸ ਵਿੱਚ ਵਰਣਨ ਕੀਤਾ ਗਿਆ ਹੈ ਆਰਐਫਸੀ 4255, ਆਰਐਫਸੀ 6594 и ਆਰਐਫਸੀ 7479. ਦੂਜਾ PGP (ਆਰਐਫਸੀ 7929). ਅੰਤ ਵਿੱਚ, ਤੀਜਾ SMIMEA ਰਿਕਾਰਡ ਹੈ (ਆਰਐਫਸੀ ਵਿੱਚ ਮਿਆਰੀ ਰਸਮੀ ਨਹੀਂ ਹੈ, ਉੱਥੇ ਹੈ ਇਸ ਦਾ ਸਿਰਫ਼ ਇੱਕ ਖਰੜਾ) S/MIME ਰਾਹੀਂ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਕੁੰਜੀ ਐਕਸਚੇਂਜ ਲਈ।

DANE ਨਾਲ ਕੀ ਸਮੱਸਿਆ ਹੈ

ਮਈ ਦੇ ਅੱਧ ਵਿੱਚ, DNS-OARC ਕਾਨਫਰੰਸ ਆਯੋਜਿਤ ਕੀਤੀ ਗਈ ਸੀ (ਇਹ ਇੱਕ ਗੈਰ-ਮੁਨਾਫ਼ਾ ਸੰਗਠਨ ਹੈ ਜੋ ਡੋਮੇਨ ਨਾਮ ਪ੍ਰਣਾਲੀ ਦੀ ਸੁਰੱਖਿਆ, ਸਥਿਰਤਾ ਅਤੇ ਵਿਕਾਸ ਨਾਲ ਸੰਬੰਧਿਤ ਹੈ)। ਇੱਕ ਪੈਨਲ 'ਤੇ ਮਾਹਰ ਸਿੱਟੇ 'ਤੇ ਆਇਆਕਿ ਬ੍ਰਾਉਜ਼ਰਾਂ ਵਿੱਚ DANE ਤਕਨਾਲੋਜੀ ਫੇਲ੍ਹ ਹੋ ਗਈ ਹੈ (ਘੱਟੋ ਘੱਟ ਇਸਦੇ ਮੌਜੂਦਾ ਲਾਗੂਕਰਨ ਵਿੱਚ)। ਕਾਨਫਰੰਸ ਵਿੱਚ ਮੌਜੂਦ ਜਿਓਫ ਹਿਊਸਟਨ, ਪ੍ਰਮੁੱਖ ਖੋਜ ਵਿਗਿਆਨੀ APnic, ਪੰਜ ਖੇਤਰੀ ਇੰਟਰਨੈਟ ਰਜਿਸਟਰਾਰਾਂ ਵਿੱਚੋਂ ਇੱਕ, ਜਵਾਬ ਦਿੱਤਾ DANE ਬਾਰੇ "ਮ੍ਰਿਤ ਤਕਨਾਲੋਜੀ" ਵਜੋਂ।

ਪ੍ਰਸਿੱਧ ਬ੍ਰਾਊਜ਼ਰ DANE ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਸਰਟੀਫਿਕੇਟ ਪ੍ਰਮਾਣਿਕਤਾ ਦਾ ਸਮਰਥਨ ਨਹੀਂ ਕਰਦੇ ਹਨ। ਮਾਰਕੀਟ 'ਤੇ ਵਿਸ਼ੇਸ਼ ਪਲੱਗਇਨ ਹਨ, ਜੋ TLSA ਰਿਕਾਰਡਾਂ ਦੀ ਕਾਰਜਕੁਸ਼ਲਤਾ ਨੂੰ ਪ੍ਰਗਟ ਕਰਦੇ ਹਨ, ਪਰ ਉਹਨਾਂ ਦੇ ਸਮਰਥਨ ਨੂੰ ਵੀ ਹੌਲੀ ਹੌਲੀ ਬੰਦ.

ਬ੍ਰਾਊਜ਼ਰਾਂ ਵਿੱਚ DANE ਵੰਡ ਨਾਲ ਸਮੱਸਿਆਵਾਂ DNSSEC ਪ੍ਰਮਾਣਿਕਤਾ ਪ੍ਰਕਿਰਿਆ ਦੀ ਲੰਬਾਈ ਨਾਲ ਜੁੜੀਆਂ ਹੋਈਆਂ ਹਨ। ਸਿਸਟਮ ਨੂੰ SSL ਸਰਟੀਫਿਕੇਟ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਲਈ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਗਣਨਾ ਕਰਨ ਲਈ ਮਜਬੂਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ ਪਹਿਲੀ ਵਾਰ ਕਿਸੇ ਸਰੋਤ ਨਾਲ ਜੁੜਨ ਵੇਲੇ DNS ਸਰਵਰਾਂ (ਰੂਟ ਜ਼ੋਨ ਤੋਂ ਹੋਸਟ ਡੋਮੇਨ ਤੱਕ) ਦੀ ਪੂਰੀ ਲੜੀ ਵਿੱਚੋਂ ਲੰਘਦਾ ਹੈ।

/ਅਨਸਪਲੈਸ਼/ ਕੈਲੇ ਡਾਇਕਸਟ੍ਰਾ

ਮੋਜ਼ੀਲਾ ਨੇ ਵਿਧੀ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਇਸ ਕਮੀ ਨੂੰ ਦੂਰ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕੀਤੀ DNSSEC ਚੇਨ ਐਕਸਟੈਂਸ਼ਨ TLS ਲਈ। ਇਹ DNS ਰਿਕਾਰਡਾਂ ਦੀ ਗਿਣਤੀ ਨੂੰ ਘਟਾਉਣਾ ਸੀ ਜੋ ਗਾਹਕ ਨੂੰ ਪ੍ਰਮਾਣਿਕਤਾ ਦੇ ਦੌਰਾਨ ਵੇਖਣਾ ਪੈਂਦਾ ਸੀ। ਹਾਲਾਂਕਿ, ਵਿਕਾਸ ਸਮੂਹ ਦੇ ਅੰਦਰ ਅਸਹਿਮਤੀ ਪੈਦਾ ਹੋ ਗਈ ਸੀ ਜੋ ਹੱਲ ਨਹੀਂ ਹੋ ਸਕੇ। ਨਤੀਜੇ ਵਜੋਂ, ਪ੍ਰੋਜੈਕਟ ਨੂੰ ਛੱਡ ਦਿੱਤਾ ਗਿਆ ਸੀ, ਹਾਲਾਂਕਿ ਇਸਨੂੰ ਮਾਰਚ 2018 ਵਿੱਚ IETF ਦੁਆਰਾ ਮਨਜ਼ੂਰ ਕੀਤਾ ਗਿਆ ਸੀ।

DANE ਦੀ ਘੱਟ ਪ੍ਰਸਿੱਧੀ ਦਾ ਇੱਕ ਹੋਰ ਕਾਰਨ ਦੁਨੀਆ ਵਿੱਚ DNSSEC ਦਾ ਘੱਟ ਪ੍ਰਚਲਨ ਹੈ - ਕੇਵਲ 19% ਸਰੋਤ ਇਸ ਨਾਲ ਕੰਮ ਕਰਦੇ ਹਨ. ਮਾਹਿਰਾਂ ਨੇ ਮਹਿਸੂਸ ਕੀਤਾ ਕਿ ਇਹ DANE ਨੂੰ ਸਰਗਰਮੀ ਨਾਲ ਉਤਸ਼ਾਹਿਤ ਕਰਨ ਲਈ ਕਾਫੀ ਨਹੀਂ ਸੀ।

ਜ਼ਿਆਦਾਤਰ ਸੰਭਾਵਨਾ ਹੈ, ਉਦਯੋਗ ਇੱਕ ਵੱਖਰੀ ਦਿਸ਼ਾ ਵਿੱਚ ਵਿਕਸਤ ਹੋਵੇਗਾ. SSL/TLS ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਲਈ DNS ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਬਜਾਏ, ਮਾਰਕੀਟ ਖਿਡਾਰੀ ਇਸ ਦੀ ਬਜਾਏ DNS-over-TLS (DoT) ਅਤੇ DNS-over-HTTPS (DoH) ਪ੍ਰੋਟੋਕੋਲ ਨੂੰ ਉਤਸ਼ਾਹਿਤ ਕਰਨਗੇ। ਅਸੀਂ ਆਪਣੇ ਇੱਕ ਵਿੱਚ ਬਾਅਦ ਦਾ ਜ਼ਿਕਰ ਕੀਤਾ ਪਿਛਲੀ ਸਮੱਗਰੀ Habré 'ਤੇ. ਉਹ DNS ਸਰਵਰ ਲਈ ਉਪਭੋਗਤਾ ਬੇਨਤੀਆਂ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਅਤੇ ਪ੍ਰਮਾਣਿਤ ਕਰਦੇ ਹਨ, ਹਮਲਾਵਰਾਂ ਨੂੰ ਡੇਟਾ ਨੂੰ ਧੋਖਾ ਦੇਣ ਤੋਂ ਰੋਕਦੇ ਹਨ। ਸਾਲ ਦੇ ਸ਼ੁਰੂ ਵਿੱਚ, DoT ਪਹਿਲਾਂ ਹੀ ਸੀ ਲਾਗੂ ਕੀਤਾ Google ਨੂੰ ਇਸਦੇ ਜਨਤਕ DNS ਲਈ। ਜਿਵੇਂ ਕਿ DANE ਲਈ, ਕੀ ਤਕਨਾਲੋਜੀ "ਕਾਠੀ ਵਿੱਚ ਵਾਪਸ ਆਉਣ" ਦੇ ਯੋਗ ਹੋਵੇਗੀ ਅਤੇ ਅਜੇ ਵੀ ਵਿਆਪਕ ਬਣ ਜਾਵੇਗੀ, ਭਵਿੱਖ ਵਿੱਚ ਵੇਖਣਾ ਬਾਕੀ ਹੈ।

ਸਾਡੇ ਕੋਲ ਹੋਰ ਪੜ੍ਹਨ ਲਈ ਹੋਰ ਕੀ ਹੈ:

IT ਬੁਨਿਆਦੀ ਢਾਂਚਾ ਪ੍ਰਬੰਧਨ ਨੂੰ ਕਿਵੇਂ ਸਵੈਚਾਲਤ ਕਰਨਾ ਹੈ - ਤਿੰਨ ਰੁਝਾਨਾਂ 'ਤੇ ਚਰਚਾ ਕਰਨਾ
JMAP - ਇੱਕ ਓਪਨ ਪ੍ਰੋਟੋਕੋਲ ਜੋ ਈਮੇਲਾਂ ਦਾ ਆਦਾਨ-ਪ੍ਰਦਾਨ ਕਰਨ ਵੇਲੇ IMAP ਨੂੰ ਬਦਲ ਦੇਵੇਗਾ

ਇੱਕ ਐਪਲੀਕੇਸ਼ਨ ਪ੍ਰੋਗਰਾਮਿੰਗ ਇੰਟਰਫੇਸ ਨਾਲ ਕਿਵੇਂ ਸੁਰੱਖਿਅਤ ਕਰਨਾ ਹੈ
1cloud.ru ਦੀ ਉਦਾਹਰਨ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਕਲਾਉਡ ਸੇਵਾ ਵਿੱਚ DevOps
1 ਕਲਾਉਡ ਕਲਾਉਡ ਆਰਕੀਟੈਕਚਰ ਦਾ ਵਿਕਾਸ

1Cloud ਤਕਨੀਕੀ ਸਹਾਇਤਾ ਕਿਵੇਂ ਕੰਮ ਕਰਦੀ ਹੈ?
ਕਲਾਉਡ ਤਕਨਾਲੋਜੀਆਂ ਬਾਰੇ ਮਿੱਥ

ਸਰੋਤ: www.habr.com