{"id":34921,"date":"2019-10-31T22:01:17","date_gmt":"2019-10-31T19:01:17","guid":{"rendered":"https:\/\/prohoster.info\/blog\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas\/"},"modified":"2019-10-31T22:01:17","modified_gmt":"2019-10-31T19:01:17","slug":"est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","title":{"rendered":"Det finns en \u00e5sikt: DANE-teknologin f\u00f6r webbl\u00e4sare har misslyckats","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Vi pratar om vad DANE-teknologin f\u00f6r autentisering av dom\u00e4nnamn via DNS inneb\u00e4r och varf\u00f6r den inte har f\u00e5tt ett brett genomslag i webbl\u00e4sare.<\/p>\n

\"Det<\/a><\/noindex><\/a><\/noindex>
\n\/ Unsplash \/ Paulius Dragunas<\/a><\/noindex><\/i><\/p>\n

Vad \u00e4r DANE<\/h2>\n

\nCertifieringsorgan (CA) \u00e4r organisationer som med<\/a><\/noindex> certifikat av kryptografiska SSL-certifikat<\/a><\/noindex>. De s\u00e4tter sin elektroniska signatur p\u00e5 dem f\u00f6r att bekr\u00e4fta \u00e4ktheten. Men ibland uppst\u00e5r situationer d\u00e4r certifikat utf\u00e4rdas p\u00e5 otill\u00e5tna s\u00e4tt. Till exempel inledde Google f\u00f6rra \u00e5ret en \"\u00e5tg\u00e4rd f\u00f6r att \u00e5terkalla f\u00f6rtroendet\" f\u00f6r Symantecs certifikat p\u00e5 grund av deras kompromettering (denna historia belyste vi p\u00e5 v\u00e5r blogg \u2014 ett<\/a><\/noindex> och tv\u00e5<\/a><\/noindex>).<\/p>\n

F\u00f6r att undvika s\u00e5dana situationer b\u00f6rjade IETF f\u00f6r flera \u00e5r sedan utveckla<\/a><\/noindex> DANE-teknologin (men den har inte f\u00e5tt ett brett genomslag i webbl\u00e4sare \u2014 varf\u00f6r det blev s\u00e5 ska vi diskutera senare).<\/p>\n

DANE (DNS-baserad autentisering av namngivna enheter) \u00e4r en upps\u00e4ttning specifikationer som m\u00f6jligg\u00f6r anv\u00e4ndning av DNSSEC (Namn System Security Extensions) f\u00f6r att verifiera \u00e4ktheten av SSL-certifikat. DNSSEC \u00e4r en utvidgning f\u00f6r dom\u00e4nnamnssystemet som minimerar attacker relaterade till adresstrukturering. Genom att anv\u00e4nda dessa tv\u00e5 teknologier kan webbansvarig eller klient kontakta en av DNS-zonoperat\u00f6rerna f\u00f6r att bekr\u00e4fta giltigheten av det anv\u00e4nda certifikatet.<\/p>\n

I grund och botten fungerar DANE som ett sj\u00e4lvsignerat certifikat (garanten f\u00f6r dess p\u00e5litlighet \u00e4r DNSSEC) och kompletterar CA:s funktioner.<\/p>\n

Hur det fungerar<\/h2>\n

\nDANE-specifikationen beskrivs i RFC6698<\/a><\/noindex>. Enligt dokumentet har en ny typ av resurspost i DNS-resursposter<\/a><\/noindex> lagts till \u2014 TLSA. Den inneh\u00e5ller information om det certifikat som \u00f6verf\u00f6rs, dimension och typ av de \u00f6verf\u00f6rda uppgifterna, samt sj\u00e4lva uppgifterna. Webbansvarig skapar ett digitalt fingeravtryck av certifikatet, signerar det med hj\u00e4lp av DNSSEC och l\u00e4gger ut det i TLSA.<\/p>\n

Klienten ansluter sig till webbplatsen p\u00e5 internet och j\u00e4mf\u00f6r dess certifikat med \"kopian\" som mottagits fr\u00e5n DNS-operat\u00f6ren. Om de matchar betraktas resurserna som betrodda.<\/p><\/blockquote>\n

\nP\u00e5 wiki-sidan om DANE ges f\u00f6ljande exempel p\u00e5 DNS-f\u00f6rfr\u00e5gan till servern example.org p\u00e5 TCP-port 443:<\/p>\n

IN TLSA _443._tcp.example.org<\/code><\/pre>\n
\nSvaret ser ut s\u00e5 h\u00e4r:<\/p>\n
 _443._tcp.example.com. IN TLSA (\n   3 0 0 30820307308201efa003020102020... )\n<\/code><\/pre>\n
\nDANE har flera utvidgningar som fungerar med andra DNS-poster \u00e4n TLSA. Den f\u00f6rsta \u00e4r DNS-posten SSHFP f\u00f6r att verifiera nycklar vid SSH-anslutningar. Den beskrivs i RFC4255<\/a><\/noindex>,\u00a0RFC6594<\/a><\/noindex>\u00a0och\u00a0RFC7479<\/a><\/noindex>. Det andra \u00e4r en OPENPGPKEY-post f\u00f6r utbyte av nycklar med hj\u00e4lp av PGP (RFC7929<\/a><\/noindex>). Slutligen \u00e4r den tredje en SMIMEA-post (i RFC-dokumentet \u00e4r standarden inte formulerad, det finns bara ett utkast<\/a><\/noindex>) f\u00f6r kryptografiskt nyckelutbyte via S\/MIME.<\/p>\n
Vad \u00e4r problemet med DANE?<\/h2>\n
\nI mitten av maj h\u00f6lls en DNS-OARC-konferens (detta \u00e4r en ideell organisation som sysslar med fr\u00e5gor r\u00f6rande s\u00e4kerhet, stabilitet och utveckling av dom\u00e4nsystemet). P\u00e5 ett av panelerna kom experterna fram till slutsatsen<\/a><\/noindex>, att DANE-teknologin har misslyckats i webbl\u00e4sare (\u00e5tminstone i den nuvarande implementeringen). Geoff Huston, en ledande forskare APNIC<\/a><\/noindex>, en av fem regionala internetregistratorer, kommentarer<\/a><\/noindex> om DANE som \"en d\u00f6d teknologi\".<\/p>\n
Popul\u00e4ra webbl\u00e4sare st\u00f6der inte certifikatsautentisering med hj\u00e4lp av DANE. P\u00e5 marknaden finns specifika plugins<\/a><\/noindex>, som avt\u00e4cker funktionaliteten hos TLSA-poster, men \u00e4ven deras st\u00f6d upph\u00f6r gradvis<\/a><\/noindex>.<\/p><\/blockquote>\n
\nProblemen med spridningen av DANE i webbl\u00e4sare kopplas till den l\u00e5ngvariga valideringsprocessen via DNSSEC. Systemet tvingas utf\u00f6ra kryptografiska ber\u00e4kningar f\u00f6r att bekr\u00e4fta \u00e4ktheten av SSL-certifikatet och g\u00e5 igenom hela kedjan av DNS-servrar (fr\u00e5n rotzonen till v\u00e4rddomen) vid f\u00f6rsta anslutningen till resursen.<\/p>\n
\"Det
\n\/ Unsplash \/ Kaley Dykstra<\/a><\/noindex><\/i><\/p>\n
Denna brist f\u00f6rs\u00f6kte Mozilla \u00e5tg\u00e4rda med hj\u00e4lp av mekanismen DNSSEC Chain Extension<\/a><\/noindex> f\u00f6r TLS. Den skulle minska antalet DNS-poster som klienten beh\u00f6vde granska under autentiseringen. Men inom utvecklargruppen uppstod oenigheter som inte kunde l\u00f6sas. I slut\u00e4ndan \u00f6vergavs projektet, \u00e4ven om det godk\u00e4ndes av IETF i mars 2018.<\/p>\n
En annan orsak till den l\u00e5ga populariteten f\u00f6r DANE anses vara den svaga spridningen av DNSSEC i v\u00e4rlden \u2014 som bara fungerar med 19% av resurserna.<\/a><\/noindex>. Experter bed\u00f6mde att detta inte \u00e4r tillr\u00e4ckligt f\u00f6r att aktivt fr\u00e4mja DANE.<\/p>\n
Troligtvis kommer industrin att utvecklas i en annan riktning. Ist\u00e4llet f\u00f6r att anv\u00e4nda DNS f\u00f6r att verifiera SSL\/TLS-certifikat, kommer marknadsakt\u00f6rerna ist\u00e4llet att f\u00f6respr\u00e5ka protokollen DNS-over-TLS (DoT) och DNS-over-HTTPS (DoH). Det senare n\u00e4mnde vi i en av v\u00e5ra tidigare artiklar.<\/a><\/noindex> p\u00e5 Habr\u00e9. De krypterar och verifierar anv\u00e4ndarnas f\u00f6rfr\u00e5gningar till DNS-servern, vilket f\u00f6rhindrar angripare fr\u00e5n att manipulera data. I b\u00f6rjan av \u00e5ret var DoT redan integration med Mastodon, vilket orsakade blandade reaktioner fr\u00e5n anv\u00e4ndarna. Lyckligtvis \u00e4r det, precis som det b\u00f6r vara i \u00f6ppen k\u00e4llkod, valfritt och hanteras p\u00e5 serveradministrat\u00f6rens sida.<\/a><\/noindex> i Google f\u00f6r sin offentliga DNS. N\u00e4r det kommer till DANE - om teknologin kommer att \"\u00e5terf\u00e5 greppet\" och bli mainstream, \u00e5terst\u00e5r att se i framtiden.<\/p>\n
Vad mer har vi f\u00f6r ytterligare l\u00e4sning:<\/b><\/p>\n
\"Det S\u00e5 h\u00e4r automatiserar du hanteringen av IT-infrastrukturen \u2013 vi diskuterar tre trender<\/a><\/noindex>
\n\"Det Hur fungerar ett datacenter och vad kr\u00e4vs f\u00f6r dess drift?<\/a><\/noindex><\/p>\n
\"Det Hur man sparar pengar med hj\u00e4lp av ett programgr\u00e4nssnitt<\/a><\/noindex>
\n\"Det DevOps i molntj\u00e4nsten med exempel fr\u00e5n 1cloud.ru<\/a><\/noindex>
\n\"Det Utvecklingen av molnarkitektur 1cloud<\/a><\/noindex><\/p>\n
\"Det Hur teknisk support fungerar p\u00e5 1cloud<\/a><\/noindex>
\n\"Det Myter om molnteknologier<\/a><\/noindex><\/p><\/blockquote>\n
K\u00e4lla: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0413\u043e\u0432\u043e\u0440\u0438\u043c \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u0441\u043e\u0431\u043e\u0439 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f DANE \u0434\u043b\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0434\u043e\u043c\u0435\u043d\u043d\u044b\u0445 \u0438\u043c\u0435\u043d \u043f\u043e DNS \u0438 \u043f\u043e\u0447\u0435\u043c\u0443 \u043e\u043d\u0430 \u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0430 \u0448\u0438\u0440\u043e\u043a\u043e\u0433\u043e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430\u0445. \/ Unsplash \/ Paulius Dragunas \u0427\u0442\u043e \u0442\u0430\u043a\u043e\u0435 DANE \u0421\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0435 \u0446\u0435\u043d\u0442\u0440\u044b (CA) \u2014 \u044d\u0442\u043e \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0437\u0430\u043d\u0438\u043c\u0430\u044e\u0442\u0441\u044f \u0443\u0434\u043e\u0441\u0442\u043e\u0432\u0435\u0440\u0435\u043d\u0438\u0435\u043c \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u0438\u0445 SSL-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432. \u041e\u043d\u0438 \u0441\u0442\u0430\u0432\u044f\u0442 \u043d\u0430 \u043d\u0438\u0445 \u0441\u0432\u043e\u044e \u044d\u043b\u0435\u043a\u0442\u0440\u043e\u043d\u043d\u0443\u044e \u043f\u043e\u0434\u043f\u0438\u0441\u044c, \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u044f \u043f\u043e\u0434\u043b\u0438\u043d\u043d\u043e\u0441\u0442\u044c. \u041e\u0434\u043d\u0430\u043a\u043e \u043f\u043e\u0440\u043e\u0439 \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u044e\u0442 \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u0438, […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":26289,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-34921","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Det finns en uppfattning: teknologin DANE f\u00f6r webbl\u00e4sare har misslyckats | ProHoster","description":"Vi pratar om vad DANE-teknologin f\u00f6r autentisering av dom\u00e4nnamn via DNS inneb\u00e4r och varf\u00f6r den inte har f\u00e5tt ett brett genomslag i webbl\u00e4sare.","canonical_url":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"sv_SE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0415\u0441\u0442\u044c \u043c\u043d\u0435\u043d\u0438\u0435: \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f DANE \u0434\u043b\u044f \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u043e\u0432 \u043f\u0440\u043e\u0432\u0430\u043b\u0438\u043b\u0430\u0441\u044c | ProHoster","og:description":"\u0413\u043e\u0432\u043e\u0440\u0438\u043c \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u0441\u043e\u0431\u043e\u0439 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f DANE \u0434\u043b\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0434\u043e\u043c\u0435\u043d\u043d\u044b\u0445 \u0438\u043c\u0435\u043d \u043f\u043e DNS \u0438 \u043f\u043e\u0447\u0435\u043c\u0443 \u043e\u043d\u0430 \u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0430 \u0448\u0438\u0440\u043e\u043a\u043e\u0433\u043e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430\u0445.","og:url":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/est-mnenie-tehnologiya-dane-dlya-brauzerov-provalilas","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:01:17+00:00","article:modified_time":"2019-10-31T19:01:17+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"34921","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 21:07:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 02:12:28","updated":"2026-01-21 21:07:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts\/34921","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/comments?post=34921"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts\/34921\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/media\/26289"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/media?parent=34921"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/categories?post=34921"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/tags?post=34921"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}