Mis on DANE?

Mis on DANE?

DANE (DNS-based Authentication of Named Entities) on protokoll, mis kasutab DNSSECi taristut, lisaks DNS kirjete digiallkirjastamisele, ka kõikvõimalike teiste domeenidega seotud sertifikaatide jagamiseks, allkirjastamiseks ning kontrolliks. Mõned sellised näited on TLS (Transport-Layer Security) X.509 (PKIX) sertifikaadid, mida kasutatakse HTTPS protokollis andmete krüpteerimiseks, aga ka e-kirjade allkirjastamiseks ja krüpteerimiseks ning seadmete vaheliste turvaliste ühenduste loomiseks.

Põhiline fookus on DANE puhul siiski HTTPS sertifikaatidel. Täna tuleb oma kodulehe- või internetiteenuse pakkumiseks üle krüpteeritud kanali osta sertifikaat. Sirvikute ja operatsioonisüsteemide tootjate poolt aktsepteeritud sertifikaatide väljastajate (CA - Certificate Authority) nimekiri on piiratud. See tähendab, et kasutaja saab oma arvutis hoiatuse kui sertifikaat on väljastatud kellegi poolt, keda nimekirjas pole. Sertifikaadid võivad olla domeeniomaniku jaoks kallid. Piirangute eesmärk on tagada kvaliteet, sest selle sertifikaadiga tehakse ka kindlaks, et teenusepakkujal üldse on õigus konkreetse domeeni alt teenust pakkuda. CAdel on kohustus enne sertifikaadi väljastamist veenduda, et taotlejal on õigus vastava domeeni kasutamiseks. DANE lisab alternatiivse mooduse selle õiguse tuvastamiseks, sest DNSSECi jaoks on registripidaja juba kinnitanud sertifikaadi väljastaja õigused konkreetse domeeni alt tegutseda. See tähendab, et domeeni omanik võib ise vajalikud sertifikaadid luua ning lisada need DNS süseemi ja allkirjastada.

DANE puhul on ettenähtud ka võimalused kolmanda osapoole poolt (CA) väljastatud sertifikaatide täiendavaks allkirjastamiseks, saab ära määrata ka konkreetsed CA(d) kelle poolt sertifikaat peab olema välja antud või missugused sertifikaadid on lubatud konkreetse teenuse puhul.

Võimalus välja murda kinnise CAde nimekirja piirangutest ning anda domeeniomanikele võimalused ise oma turvasertifikaate kontrollida, on eesmärk mille poole püütakse jõuda. Sarnaselt DNSSECiga, puudub ka DANE puhul täna sirvikutes vaikimisi tugi, mis tähendab jätkuvalt hoiatust aadressiribal sõnumiga "sertifikaadi väljastanud CA ei pruugi olla usaldusväärne". Seega saab täna DANE kasutada juba usaldusväärse CA poolt väljastatud sertifikaadile täiendava turva taseme lisamiseks, andes kasutajale täiendava võimaluse veendumaks, et teenuse pakkuja tõepoolest omab õigust vastava domeeni alt teenust pakkuda.

DANE Eesti Interneti SA-s

Alates 25. aprillist on EISi registreerija ja registripidaja portaalide TLS sertifikaadid täiendavalt ka DANE protokolliga kaitstud.

Miks DANE rakendada?

Kui interneti sirviku- ja operatsioonisüsteemide tootjad hakkavad DANE toetama, on võit ilmselge - võimalus loobuda suhteliselt kulukast CA teenusest ning saavutada parem kontroll oma sertifikaatide, sealhulgas ka salajase osa üle. Kuid seni on DANE pigem täiendav võimalus DNSSECi rakendada ning kasu avaldub suurema turvalisuse võtmes. CAde tase pole ühtlane, viimastel aastatel avalikuks saanud intsidendid on õõnestanud nende vastast usaldust. DANE võimaldab siin pakkuda oma teenuse kasutajatele täiendavat kindlust, mis peaks olema eriti oluline raha ja isiklike andmetega tegelevatele organisatsioonidele.

Kasulikud lingid