ہم اس بارے میں بات کرتے ہیں کہ DNS کا استعمال کرتے ہوئے ڈومین ناموں کی توثیق کرنے کے لیے DANE ٹیکنالوجی کیا ہے اور براؤزرز میں اسے وسیع پیمانے پر کیوں استعمال نہیں کیا جاتا ہے۔
/انسپلاش/
DANE کیا ہے؟
سرٹیفیکیشن اتھارٹیز (CAs) وہ تنظیمیں ہیں جو کرپٹوگرافک سرٹیفکیٹ . وہ ان پر اپنے الیکٹرانک دستخط لگاتے ہیں، ان کی صداقت کی تصدیق کرتے ہیں۔ تاہم، بعض اوقات ایسے حالات پیدا ہوتے ہیں جب خلاف ورزیوں کے ساتھ سرٹیفکیٹ جاری کیے جاتے ہیں۔ مثال کے طور پر، پچھلے سال گوگل نے سمانٹیک سرٹیفکیٹس کے لیے ان کے سمجھوتہ کی وجہ سے "اعتماد کا طریقہ کار" شروع کیا تھا (ہم نے اپنے بلاگ میں اس کہانی کا تفصیل سے احاطہ کیا تھا - и ).
ایسے حالات سے بچنے کے لیے کئی سال قبل IETF DANE ٹیکنالوجی (لیکن یہ براؤزرز میں بڑے پیمانے پر استعمال نہیں ہوتی ہے - ہم بعد میں بات کریں گے کہ ایسا کیوں ہوا)۔
DANE (DNS-based Authentication of Named Entities) تصریحات کا ایک مجموعہ ہے جو آپ کو SSL سرٹیفکیٹس کی درستگی کو کنٹرول کرنے کے لیے DNSSEC (Name System Security Extensions) استعمال کرنے کی اجازت دیتا ہے۔ DNSSEC ڈومین نیم سسٹم کی توسیع ہے جو ایڈریس سپوفنگ حملوں کو کم کرتی ہے۔ ان دو ٹیکنالوجیز کا استعمال کرتے ہوئے، ایک ویب ماسٹر یا کلائنٹ DNS زون آپریٹرز میں سے کسی ایک سے رابطہ کر سکتا ہے اور استعمال کیے جانے والے سرٹیفکیٹ کی درستگی کی تصدیق کر سکتا ہے۔
بنیادی طور پر، DANE خود دستخط شدہ سرٹیفکیٹ کے طور پر کام کرتا ہے (اس کی وشوسنییتا کا ضامن DNSSEC ہے) اور CA کے افعال کی تکمیل کرتا ہے۔
یہ کیسے کام کرتا ہے
DANE تفصیلات میں بیان کیا گیا ہے۔ . دستاویز کے مطابق، میں ایک نئی قسم شامل کی گئی تھی - TLSA۔ اس میں منتقل ہونے والے سرٹیفکیٹ، منتقل کیے جانے والے ڈیٹا کے سائز اور قسم کے ساتھ ساتھ ڈیٹا کے بارے میں بھی معلومات ہوتی ہیں۔ ویب ماسٹر سرٹیفکیٹ کا ڈیجیٹل انگوٹھے کا نشان بناتا ہے، اس پر DNSSEC سے دستخط کرتا ہے، اور اسے TLSA میں رکھتا ہے۔
کلائنٹ انٹرنیٹ پر کسی سائٹ سے جڑتا ہے اور اپنے سرٹیفکیٹ کا DNS آپریٹر سے موصول ہونے والی "کاپی" سے موازنہ کرتا ہے۔ اگر وہ مماثل ہیں، تو وسائل قابل اعتماد سمجھا جاتا ہے.
DANE ویکی صفحہ TCP پورٹ 443 پر example.org پر DNS درخواست کی درج ذیل مثال فراہم کرتا ہے:
IN TLSA _443._tcp.example.orgجواب اس طرح لگتا ہے:
_443._tcp.example.com. IN TLSA (
3 0 0 30820307308201efa003020102020... )
DANE میں کئی ایکسٹینشنز ہیں جو TLSA کے علاوہ DNS ریکارڈز کے ساتھ کام کرتی ہیں۔ پہلا SSH کنکشن پر کلیدوں کی توثیق کے لیے SSHFP DNS ریکارڈ ہے۔ میں بیان کیا گیا ہے۔ , и . دوسرا PGP ()۔ آخر میں، تیسرا SMIMEA ریکارڈ ہے (آر ایف سی میں معیاری نہیں ہے، وہاں موجود ہے۔ S/MIME کے ذریعے کرپٹوگرافک کلید کے تبادلے کے لیے۔
DANE کے ساتھ کیا مسئلہ ہے؟
مئی کے وسط میں، DNS-OARC کانفرنس منعقد ہوئی (یہ ایک غیر منافع بخش تنظیم ہے جو ڈومین نام کے نظام کی سلامتی، استحکام اور ترقی سے متعلق ہے)۔ پینل میں سے ایک پر ماہرین کہ براؤزرز میں DANE ٹیکنالوجی ناکام ہوگئی ہے (کم از کم اس کے موجودہ نفاذ میں)۔ کانفرنس میں موجود جیوف ہسٹن، معروف ریسرچ سائنسدان پانچ علاقائی انٹرنیٹ رجسٹراروں میں سے ایک، DANE کے بارے میں بطور "ڈیڈ ٹیکنالوجی"۔
مقبول براؤزرز DANE کا استعمال کرتے ہوئے سرٹیفکیٹ کی تصدیق کی حمایت نہیں کرتے ہیں۔ مارکیٹ پر ، جو TLSA ریکارڈز کی فعالیت کو ظاہر کرتا ہے، بلکہ ان کی حمایت بھی .
براؤزرز میں DANE کی تقسیم کے مسائل DNSSEC کی توثیق کے عمل کی لمبائی سے وابستہ ہیں۔ سسٹم کو مجبور کیا جاتا ہے کہ وہ SSL سرٹیفکیٹ کی صداقت کی تصدیق کرنے کے لیے کرپٹوگرافک حساب کتاب کرے اور پہلے کسی وسائل سے منسلک ہونے پر DNS سرورز (روٹ زون سے لے کر میزبان ڈومین تک) کی پوری چین سے گزرے۔
/انسپلاش/
موزیلا نے میکانزم کا استعمال کرتے ہوئے اس خرابی کو ختم کرنے کی کوشش کی۔ TLS کے لیے۔ یہ DNS ریکارڈز کی تعداد کو کم کرنا تھا جو کلائنٹ کو تصدیق کے دوران تلاش کرنا پڑتا تھا۔ تاہم، ترقیاتی گروپ کے اندر اختلافات پیدا ہوئے جو حل نہ ہو سکے۔ نتیجے کے طور پر، اس منصوبے کو ترک کر دیا گیا، حالانکہ اسے مارچ 2018 میں IETF نے منظور کیا تھا۔
DANE کی کم مقبولیت کی ایک اور وجہ دنیا میں DNSSEC کا کم پھیلاؤ ہے۔ . ماہرین نے محسوس کیا کہ یہ DANE کو فعال طور پر فروغ دینے کے لیے کافی نہیں ہے۔
سب سے زیادہ امکان ہے، صنعت ایک مختلف سمت میں ترقی کرے گا. SSL/TLS سرٹیفکیٹس کی تصدیق کے لیے DNS استعمال کرنے کے بجائے، مارکیٹ کے کھلاڑی DNS-over-TLS (DoT) اور DNS-over-HTTPS (DoH) پروٹوکول کو فروغ دیں گے۔ ہم نے اپنے ایک میں مؤخر الذکر کا ذکر کیا۔ Habré پر. وہ DNS سرور پر صارف کی درخواستوں کو خفیہ اور تصدیق کرتے ہیں، حملہ آوروں کو ڈیٹا کی جعل سازی سے روکتے ہیں۔ سال کے آغاز میں، DoT پہلے سے ہی تھا Google کو اس کے عوامی DNS کے لیے۔ جہاں تک DANE کا تعلق ہے، آیا یہ ٹیکنالوجی "کاٹھی میں واپس آنے" کے قابل ہو جائے گی اور پھر بھی وسیع ہو جائے گی، یہ مستقبل میں دیکھنا باقی ہے۔
مزید پڑھنے کے لیے ہمارے پاس اور کیا ہے:
ماخذ: www.habr.com