DANE
DNS-Based Authentication of Named Entities: Der Fingerabdruck des Zertifikats eines Mailservers wird in DNSSEC-signierten TLSA-Records veröffentlicht, damit Absender TLS verlangen und prüfen können.
Was es bedeutet
DANE für SMTP (RFC 7672) lässt eine empfangende Domain über DNS ankündigen, dass ihre MX-Hosts TLS unterstützen und welches Zertifikat oder welchen Schlüssel sie verwenden. Die Domain signiert ihre Zone mit DNSSEC und veröffentlicht für jeden MX-Host einen TLSA-Record unter _25._tcp. Ein sendender Server, der einen validierten TLSA-Record findet, muss STARTTLS verwenden und das Zertifikat damit abgleichen; scheitert eines davon, stellt er nicht zu.
DNSSEC macht es vertrauenswürdig: Unsignierte TLSA-Records werden ignoriert. Für SMTP empfiehlt RFC 7672 die Verwendungen DANE-EE (3) und DANE-TA (2), sodass keine öffentliche Zertifizierungsstelle nötig ist.
Exchange Online unterstützt DANE für ausgehende und eingehende E-Mails, und seine Fehlercodes erscheinen in Microsofts Bereich 5.7.32x.
Beispiel
_25._tcp.mx1.example.com. IN TLSA 3 1 1 0f8b...c6a2Verwandte Begriffe
Auf dieser Website
Quellen
Worauf diese Definition beruht. Die Formulierung stammt von uns, die Fakten von den Quellen.
- RFC 7672: SMTP Security via Opportunistic DANE TLSrfc-editor.org
- RFC 6698: The DNS-Based Authentication of Named Entities (DANE) TLS Protocol: TLSArfc-editor.org
- Microsoft Learn: How SMTP DANE workslearn.microsoft.com
Alle 432 Begriffe im GlossarDas Wiki: Blacklists und Bounce-Codes