Vi pratar om vad DANE-teknologin för autentisering av domÀnnamn via DNS innebÀr och varför den inte har fÄtt ett brett genomslag i webblÀsare.
/ Unsplash /
Vad Àr DANE
Certifieringsorgan (CA) Ă€r organisationer som certifikat av kryptografiska . De sĂ€tter sin elektroniska signatur pĂ„ dem för att bekrĂ€fta Ă€ktheten. Men ibland uppstĂ„r situationer dĂ€r certifikat utfĂ€rdas pĂ„ otillĂ„tna sĂ€tt. Till exempel inledde Google förra Ă„ret en "Ă„tgĂ€rd för att Ă„terkalla förtroendet" för Symantecs certifikat pĂ„ grund av deras kompromettering (denna historia belyste vi pĂ„ vĂ„r blogg â och ).
För att undvika sĂ„dana situationer började IETF för flera Ă„r sedan DANE-teknologin (men den har inte fĂ„tt ett brett genomslag i webblĂ€sare â varför det blev sĂ„ ska vi diskutera senare).
DANE (DNS-baserad autentisering av namngivna enheter) Àr en uppsÀttning specifikationer som möjliggör anvÀndning av DNSSEC (Namn System Security Extensions) för att verifiera Àktheten av SSL-certifikat. DNSSEC Àr en utvidgning för domÀnnamnssystemet som minimerar attacker relaterade till adresstrukturering. Genom att anvÀnda dessa tvÄ teknologier kan webbansvarig eller klient kontakta en av DNS-zonoperatörerna för att bekrÀfta giltigheten av det anvÀnda certifikatet.
I grund och botten fungerar DANE som ett sjÀlvsignerat certifikat (garanten för dess pÄlitlighet Àr DNSSEC) och kompletterar CA:s funktioner.
Hur det fungerar
DANE-specifikationen beskrivs i . Enligt dokumentet har en ny typ av resurspost i lagts till â TLSA. Den innehĂ„ller information om det certifikat som överförs, dimension och typ av de överförda uppgifterna, samt sjĂ€lva uppgifterna. Webbansvarig skapar ett digitalt fingeravtryck av certifikatet, signerar det med hjĂ€lp av DNSSEC och lĂ€gger ut det i TLSA.
Klienten ansluter sig till webbplatsen pÄ internet och jÀmför dess certifikat med "kopian" som mottagits frÄn DNS-operatören. Om de matchar betraktas resurserna som betrodda.
PÄ wiki-sidan om DANE ges följande exempel pÄ DNS-förfrÄgan till servern example.org pÄ TCP-port 443:
IN TLSA _443._tcp.example.orgSvaret ser ut sÄ hÀr:
_443._tcp.example.com. IN TLSA (
3 0 0 30820307308201efa003020102020... )
DANE har flera utvidgningar som fungerar med andra DNS-poster Àn TLSA. Den första Àr DNS-posten SSHFP för att verifiera nycklar vid SSH-anslutningar. Den beskrivs i ,  och . Det andra Àr en OPENPGPKEY-post för utbyte av nycklar med hjÀlp av PGP (). Slutligen Àr den tredje en SMIMEA-post (i RFC-dokumentet Àr standarden inte formulerad, det finns ) för kryptografiskt nyckelutbyte via S/MIME.
Vad Àr problemet med DANE?
I mitten av maj hölls en DNS-OARC-konferens (detta Àr en ideell organisation som sysslar med frÄgor rörande sÀkerhet, stabilitet och utveckling av domÀnsystemet). PÄ ett av panelerna kom experterna , att DANE-teknologin har misslyckats i webblÀsare (Ätminstone i den nuvarande implementeringen). Geoff Huston, en ledande forskare , en av fem regionala internetregistratorer, om DANE som "en död teknologi".
PopulÀra webblÀsare stöder inte certifikatsautentisering med hjÀlp av DANE. PÄ marknaden , som avtÀcker funktionaliteten hos TLSA-poster, men Àven deras stöd .
Problemen med spridningen av DANE i webblÀsare kopplas till den lÄngvariga valideringsprocessen via DNSSEC. Systemet tvingas utföra kryptografiska berÀkningar för att bekrÀfta Àktheten av SSL-certifikatet och gÄ igenom hela kedjan av DNS-servrar (frÄn rotzonen till vÀrddomen) vid första anslutningen till resursen.
/ Unsplash /
Denna brist försökte Mozilla ÄtgÀrda med hjÀlp av mekanismen för TLS. Den skulle minska antalet DNS-poster som klienten behövde granska under autentiseringen. Men inom utvecklargruppen uppstod oenigheter som inte kunde lösas. I slutÀndan övergavs projektet, Àven om det godkÀndes av IETF i mars 2018.
En annan orsak till den lĂ„ga populariteten för DANE anses vara den svaga spridningen av DNSSEC i vĂ€rlden â . Experter bedömde att detta inte Ă€r tillrĂ€ckligt för att aktivt frĂ€mja DANE.
Troligtvis kommer industrin att utvecklas i en annan riktning. IstÀllet för att anvÀnda DNS för att verifiera SSL/TLS-certifikat, kommer marknadsaktörerna istÀllet att föresprÄka protokollen DNS-over-TLS (DoT) och DNS-over-HTTPS (DoH). Det senare nÀmnde vi i en av vÄra pÄ Habré. De krypterar och verifierar anvÀndarnas förfrÄgningar till DNS-servern, vilket förhindrar angripare frÄn att manipulera data. I början av Äret var DoT redan i Google för sin offentliga DNS. NÀr det kommer till DANE - om teknologin kommer att "ÄterfÄ greppet" och bli mainstream, ÄterstÄr att se i framtiden.
Vad mer har vi för ytterligare lÀsning:
KĂ€lla: habr.com
