{"id":34921,"date":"2019-10-31T22:01:17","date_gmt":"2019-10-31T19:01:17","guid":{"rendered":"https:\/\/prohoster.info\/blog\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas\/"},"modified":"2019-10-31T22:01:17","modified_gmt":"2019-10-31T19:01:17","slug":"est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","title":{"rendered":"Jest opinia: technologia DANE dla przegl\u0105darek nie powiod\u0142a si\u0119","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

M\u00f3wimy o tym, czym jest technologia DANE do uwierzytelniania nazw domen przez DNS i dlaczego nie zdoby\u0142a szerokiego uznania w przegl\u0105darkach.<\/p>\n

\"Jest<\/a><\/noindex><\/a><\/noindex>
\n\/ Unsplash \/ Paulius Dragunas<\/a><\/noindex><\/i><\/p>\n

Czym jest DANE<\/h2>\n

\nCentra certyfikacji (CA) to organizacje, kt\u00f3re zajmuj\u0105 si\u0119<\/a><\/noindex> po\u015bwiadczeniem kryptograficznym certyfikat\u00f3w SSL<\/a><\/noindex>. Umieszczaj\u0105 na nich sw\u00f3j elektroniczny podpis, potwierdzaj\u0105c autentyczno\u015b\u0107. Jednak czasami wyst\u0119puj\u0105 sytuacje, w kt\u00f3rych po\u015bwiadczenia s\u0105 wydawane z naruszeniami. Na przyk\u0142ad, w zesz\u0142ym roku Google zainicjowa\u0142 \u201eprocedur\u0119 cofni\u0119cia zaufania\u201d do certyfikat\u00f3w Symantec z powodu ich kompromitacji (szczeg\u00f3\u0142owo t\u0119 histori\u0119 opisali\u015bmy na naszym blogu \u2014 raz<\/a><\/noindex> i dwa<\/a><\/noindex>).<\/p>\n

Aby unikn\u0105\u0107 takich sytuacji, kilka lat temu w IETF rozpocz\u0119to prace nad<\/a><\/noindex> technologi\u0105 DANE (jednak nie zdoby\u0142a ona szerokiego uznania w przegl\u0105darkach \u2014 o tym porozmawiamy p\u00f3\u017aniej).<\/p>\n

DANE (DNS-based Authentication of Named Entities) to zestaw specyfikacji, kt\u00f3ry umo\u017cliwia wykorzystanie DNSSEC (Rozszerzenia Bezpiecze\u0144stwa Systemu Nazw) do kontroli wiarygodno\u015bci certyfikat\u00f3w SSL. DNSSEC to rozszerzenie systemu nazw domen, kt\u00f3re minimalizuje ataki zwi\u0105zane z podmian\u0105 adres\u00f3w. Korzystaj\u0105c z tych dw\u00f3ch technologii, webmaster lub klient mog\u0105 zwr\u00f3ci\u0107 si\u0119 do jednego z operator\u00f3w stref DNS i potwierdzi\u0107 wa\u017cno\u015b\u0107 u\u017cywanego certyfikatu.<\/p>\n

Zasadniczo DANE dzia\u0142a jako certyfikat samo-podpisany (gwarantem jego wiarygodno\u015bci jest DNSSEC) i uzupe\u0142nia funkcje CA.<\/p>\n

Jak to dzia\u0142a<\/h2>\n

\nSpecyfikacja DANE opisana jest w RFC6698<\/a><\/noindex>. Zgodnie z dokumentem nowy typ zosta\u0142 dodany do rekord\u00f3w zasob\u00f3w DNS<\/a><\/noindex> \u2014 TLSA. Zawiera on informacje o przekazywanym certyfikacie, rozmiarze i typie przekazywanych danych, a tak\u017ce same dane. Webmaster tworzy cyfrowy odcisk certyfikatu, podpisuje go za pomoc\u0105 DNSSEC i umieszcza w TLSA.<\/p>\n

Klient \u0142\u0105czy si\u0119 z witryn\u0105 internetow\u0105 i por\u00f3wnuje jej certyfikat z \u201ekopi\u0105\u201d otrzyman\u0105 od operatora DNS. Je\u015bli si\u0119 zgadzaj\u0105, zas\u00f3b uznawany jest za zaufany.<\/p><\/blockquote>\n

\nNa stronie wiki DANE znajduje si\u0119 nast\u0119puj\u0105cy przyk\u0142ad zapytania DNS do serwera example.org na porcie TCP 443:<\/p>\n

IN TLSA _443._tcp.example.org<\/code><\/pre>\n
\nOdpowied\u017a na nie wygl\u0105da tak:<\/p>\n
 _443._tcp.example.com. IN TLSA (\n   3 0 0 30820307308201efa003020102020... )\n<\/code><\/pre>\n
\nDANE ma kilka rozszerze\u0144, kt\u00f3re wsp\u00f3\u0142pracuj\u0105 z innymi rekordami DNS poza TLSA. Pierwsze to rekord DNS SSHFP do weryfikacji kluczy podczas po\u0142\u0105cze\u0144 SSH. Jest opisane w RFC4255<\/a><\/noindex>,\u00a0RFC6594<\/a><\/noindex>\u00a0i\u00a0RFC7479<\/a><\/noindex>. Drugie \u2013 rekord OPENPGPKEY do wymiany kluczy za pomoc\u0105 PGP (RFC7929<\/a><\/noindex>). Wreszcie trzecie \u2013 rekord SMIMEA (w RFC standard nie jest sformu\u0142owany, s\u0105 tylko jego robocze wersje w\u0142a\u015bciwie tylko jego szkic<\/a><\/noindex>) do kryptograficznej wymiany kluczy przy u\u017cyciu S\/MIME.<\/p>\n
Jaki jest problem z DANE?<\/h2>\n
\nW po\u0142owie maja odby\u0142a si\u0119 konferencja DNS-OARC (to organizacja non-profit zajmuj\u0105ca si\u0119 bezpiecze\u0144stwem, stabilno\u015bci\u0105 i rozwojem systemu domen). Na jednej z paneli eksperci doszli do wniosku<\/a><\/noindex>, \u017ce technologia DANE w przegl\u0105darkach zawiod\u0142a (przynajmniej w aktualnej wersji realizacji). Obecny na konferencji Geoff Huston, g\u0142\u00f3wny naukowiec APNIC<\/a><\/noindex>, jednego z pi\u0119ciu regionalnych rejestrator\u00f3w internetowych, skomentowa\u0142<\/a><\/noindex> DANE jako \u201emartw\u0105 technologi\u0119\u201d.<\/p>\n
Popularne przegl\u0105darki nie wspieraj\u0105 uwierzytelniania certyfikat\u00f3w za pomoc\u0105 DANE. Na rynku spotyka si\u0119 specjalne wtyczki<\/a><\/noindex>, kt\u00f3re ujawniaj\u0105 funkcjonalno\u015b\u0107 rekord\u00f3w TLSA, jednak nawet ich wsparcie stopniowo zanika.<\/a><\/noindex>.<\/p><\/blockquote>\n
\nProblemy z wdro\u017ceniem DANE w przegl\u0105darkach zwi\u0105zane s\u0105 z d\u0142ugo\u015bci\u0105 procesu walidacji przez DNSSEC. System musi przeprowadza\u0107 obliczenia kryptograficzne w celu potwierdzenia autentyczno\u015bci certyfikatu SSL i przechodzi\u0107 przez ca\u0142e \u0142a\u0144cuchy serwer\u00f3w DNS (od strefy g\u0142\u00f3wnej do domeny hosta) podczas pierwszego po\u0142\u0105czenia z zasobem.<\/p>\n
\"Jest
\n\/ Unsplash \/ Kaley Dykstra<\/a><\/noindex><\/i><\/p>\n
Ta wada by\u0142a pr\u00f3bowana naprawiona w Mozilli za pomoc\u0105 mechanizmu DNSSEC Chain Extension<\/a><\/noindex> dla TLS. Mia\u0142 on na celu skr\u00f3cenie liczby rekord\u00f3w DNS, kt\u00f3re klient musia\u0142 przeszuka\u0107 podczas uwierzytelniania. Jednak w\u015br\u00f3d grupy deweloper\u00f3w pojawi\u0142y si\u0119 niezgodno\u015bci, kt\u00f3rych nie uda\u0142o si\u0119 rozwi\u0105za\u0107. Ostatecznie projekt porzucono, mimo \u017ce zosta\u0142 zatwierdzony przez IETF w marcu 2018 roku.<\/p>\n
Kolejnym powodem niskiej popularno\u015bci DANE jest s\u0142abe wdro\u017cenie DNSSEC na \u015bwiecie \u2013 dzia\u0142a z nim tylko 19% zasob\u00f3w.<\/a><\/noindex>. Eksperci uznali, \u017ce to za ma\u0142o, by aktywnie promowa\u0107 DANE.<\/p>\n
Prawdopodobnie bran\u017ca b\u0119dzie rozwija\u0107 si\u0119 w innym kierunku. Zamiast wykorzystywa\u0107 DNS do weryfikacji certyfikat\u00f3w SSL\/TLS, uczestnicy rynku b\u0119d\u0105 raczej promowa\u0107 protoko\u0142y DNS-over-TLS (DoT) i DNS-over-HTTPS (DoH). O tym ostatnim wspominali\u015bmy w jednym z naszych poprzednich materia\u0142\u00f3w.<\/a><\/noindex> na Habra. Szyfruj\u0105 i weryfikuj\u0105 zapytania u\u017cytkownik\u00f3w do serwera DNS, nie daj\u0105c hakerom mo\u017cliwo\u015bci podmiany danych. Na pocz\u0105tku roku DoT ju\u017c wprowadzono<\/a><\/noindex> w Google dla swojego Public DNS. Co do DANE \u2013 czy technologia zdo\u0142a 'wr\u00f3ci\u0107 do \u0142ask' i sta\u0107 si\u0119 powszechnie stosowan\u0105, zobaczymy w przysz\u0142o\u015bci.<\/p>\n
Co jeszcze mamy do dodatkowego czytania:<\/b><\/p>\n
\"Jest Jak zautomatyzowa\u0107 zarz\u0105dzanie IT infrastruktur\u0105 \u2014 omawiamy trzy trendy<\/a><\/noindex>
\n\"Jest JMAP \u2014 otwarty protok\u00f3\u0142 zast\u0105pi IMAP w wymianie wiadomo\u015bci e-mail<\/a><\/noindex><\/p>\n
\"Jest Jak zaoszcz\u0119dzi\u0107 dzi\u0119ki interfejsowi API<\/a><\/noindex>
\n\"Jest DevOps w chmurze na przyk\u0142adzie 1cloud.ru<\/a><\/noindex>
\n\"Jest Ewolucja architektury chmury 1cloud<\/a><\/noindex><\/p>\n
\"Jest Jak dzia\u0142a wsparcie techniczne 1cloud<\/a><\/noindex>
\n\"Jest Mity na temat technologii chmurowych<\/a><\/noindex><\/p><\/blockquote>\n
\u0179r\u00f3d\u0142o: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0413\u043e\u0432\u043e\u0440\u0438\u043c \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u0441\u043e\u0431\u043e\u0439 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f DANE \u0434\u043b\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0434\u043e\u043c\u0435\u043d\u043d\u044b\u0445 \u0438\u043c\u0435\u043d \u043f\u043e DNS \u0438 \u043f\u043e\u0447\u0435\u043c\u0443 \u043e\u043d\u0430 \u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0430 \u0448\u0438\u0440\u043e\u043a\u043e\u0433\u043e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430\u0445. \/ Unsplash \/ Paulius Dragunas \u0427\u0442\u043e \u0442\u0430\u043a\u043e\u0435 DANE \u0421\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0435 \u0446\u0435\u043d\u0442\u0440\u044b (CA) \u2014 \u044d\u0442\u043e \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0437\u0430\u043d\u0438\u043c\u0430\u044e\u0442\u0441\u044f \u0443\u0434\u043e\u0441\u0442\u043e\u0432\u0435\u0440\u0435\u043d\u0438\u0435\u043c \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u0438\u0445 SSL-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432. \u041e\u043d\u0438 \u0441\u0442\u0430\u0432\u044f\u0442 \u043d\u0430 \u043d\u0438\u0445 \u0441\u0432\u043e\u044e \u044d\u043b\u0435\u043a\u0442\u0440\u043e\u043d\u043d\u0443\u044e \u043f\u043e\u0434\u043f\u0438\u0441\u044c, \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u044f \u043f\u043e\u0434\u043b\u0438\u043d\u043d\u043e\u0441\u0442\u044c. \u041e\u0434\u043d\u0430\u043a\u043e \u043f\u043e\u0440\u043e\u0439 \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u044e\u0442 \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u0438, […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":26289,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-34921","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Istnieje opinia: technologia DANE dla przegl\u0105darek nie powiod\u0142a si\u0119 | ProHoster","description":"M\u00f3wimy o tym, czym jest technologia DANE do uwierzytelniania nazw domen przez DNS i dlaczego nie zdoby\u0142a szerokiego uznania w przegl\u0105darkach.","canonical_url":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pl_PL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0415\u0441\u0442\u044c \u043c\u043d\u0435\u043d\u0438\u0435: \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f DANE \u0434\u043b\u044f \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u043e\u0432 \u043f\u0440\u043e\u0432\u0430\u043b\u0438\u043b\u0430\u0441\u044c | ProHoster","og:description":"\u0413\u043e\u0432\u043e\u0440\u0438\u043c \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u0441\u043e\u0431\u043e\u0439 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f DANE \u0434\u043b\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0434\u043e\u043c\u0435\u043d\u043d\u044b\u0445 \u0438\u043c\u0435\u043d \u043f\u043e DNS \u0438 \u043f\u043e\u0447\u0435\u043c\u0443 \u043e\u043d\u0430 \u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0430 \u0448\u0438\u0440\u043e\u043a\u043e\u0433\u043e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430\u0445.","og:url":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:01:17+00:00","article:modified_time":"2019-10-31T19:01:17+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"34921","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 21:07:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 02:12:28","updated":"2026-01-21 21:07:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/34921","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/comments?post=34921"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/34921\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media\/26289"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media?parent=34921"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/categories?post=34921"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/tags?post=34921"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}