Falamos sobre o que é a tecnologia DANE para autenticação de nomes de domínio via DNS e por que ela não se popularizou nos navegadores.
/ Unsplash /
O que é DANE
Autoridades certificadoras (CA) são organizações que a validação de credenciais criptográficas . Elas colocam sua assinatura eletrônica nelas, confirmando a autenticidade. No entanto, às vezes surgem situações em que os certificados são emitidos com violações. Por exemplo, no ano passado, o Google iniciou um "processo de revogação de confiança" em relação aos certificados da Symantec devido à sua compromissão (detalhes dessa história foram discutidos em nosso blog — e ).
Para evitar tais situações, há alguns anos, a IETF a tecnologia DANE (mas ela não se popularizou nos navegadores — por que isso aconteceu, falaremos a seguir).
DANE (Autenticação Baseada em DNS de Entidades Nomeadas) é um conjunto de especificações que permite usar DNSSEC (Extensões de Segurança do Sistema de Nomes) para controlar a validade de certificados SSL. O DNSSEC é uma extensão para o sistema de nomes de domínio que minimiza ataques relacionados à substituição de endereços. Ao usar essas duas tecnologias, o webmaster ou cliente pode consultar um dos operadores de zonas DNS e confirmar a validade do certificado utilizado.
Essencialmente, DANE atua como um certificado autoassinado (garantido pela segurança do DNSSEC) e complementa as funções das CAs.
Como funciona
A especificação DANE está descrita em . De acordo com o documento, foi adicionado um novo tipo de registro a — TLSA. Ele contém informações sobre o certificado transmitido, dimensões e tipo de dados transmitidos, bem como os dados em si. O webmaster cria uma impressão digital do certificado, assina-a usando DNSSEC e a publica no registro TLSA.
O cliente se conecta ao site na Internet e compara seu certificado com a "cópia" recebida do operador DNS. Se eles coincidirem, o recurso é considerado confiável.
Na página wiki de DANE, está o seguinte exemplo de consulta DNS ao servidor example.org pela porta TCP 443:
IN TLSA _443._tcp.example.orgA resposta a essa consulta é:
_443._tcp.example.com. IN TLSA (
3 0 0 30820307308201efa003020102020... )
DANE possui várias extensões que trabalham com outros registros DNS além do TLSA. A primeira é o registro DNS SSHFP para verificar chaves em conexões SSH. Isso está descrito em , e . O segundo é o registro OPENPGPKEY para troca de chaves via PGP (). Finalmente, o terceiro é o registro SMIMEA (o padrão não está formalizado no RFC, existe apenas ) para a troca criptográfica de chaves via S/MIME.
Qual é o problema com o DANE
Em meados de maio, ocorreu a conferência DNS-OARC (uma organização sem fins lucrativos que trata de questões de segurança, estabilidade e desenvolvimento do sistema de nomes de domínio). Em um dos painéis, especialistas , que a tecnologia DANE falhou nos navegadores (pelo menos, na sua implementação atual). O participante da conferência, Geoff Huston, principal cientista , de um dos cinco registradores de internet regionais, ao DANE como uma "tecnologia morta".
Os navegadores populares não suportam a autenticação de certificados via DANE. No mercado , que revelam a funcionalidade dos registros TLSA, mas seu suporte .
Os problemas com a disseminação do DANE nos navegadores estão relacionados à duração do processo de validação pelo DNSSEC. O sistema precisa realizar cálculos criptográficos para confirmar a autenticidade do certificado SSL e passar por toda a cadeia de servidores DNS (da zona raiz até o domínio do host) na primeira conexão ao recurso.
/ Unsplash /
Essa desvantagem foi tentada ser corrigida na Mozilla com o mecanismo para TLS. Ele deveria reduzir o número de registros DNS que o cliente precisaria consultar durante a autenticação. No entanto, surgiram divergências dentro do grupo de desenvolvedores que não puderam ser resolvidas. O projeto foi abandonado, embora tenha sido aprovado pelo IETF em março de 2018.
Outra razão para a baixa popularidade do DANE é a fraca disseminação do DNSSEC no mundo — . Especialistas acreditam que isso não é suficiente para uma promoção ativa do DANE.
É mais provável que a indústria se desenvolva em outra direção. Em vez de usar DNS para a verificação de certificados SSL/TLS, os players do mercado, ao contrário, promoverão os protocolos DNS-over-TLS (DoT) e DNS-over-HTTPS (DoH). O último foi mencionado em um de nossos na Habré. Eles criptografam e verificam as solicitações dos usuários ao servidor DNS, impedindo que atacantes substituam dados. No início do ano, o DoT já no Google para o seu DNS Público. Quanto ao DANE — será que a tecnologia conseguirá 'voltar ao jogo' e se tornar realmente popular, teremos que ver no futuro.
O que mais temos para leitura adicional:
Fonte: habr.com
