TLSA-Record
Der von DANE genutzte DNS-Eintrag, der ein TLS-Zertifikat oder einen öffentlichen Schlüssel an einen Dienst bindet, veröffentlicht unter einem Namen wie _25._tcp.mx.example.com.
Was es bedeutet
Ein TLSA-Record besteht aus drei Zahlen und den Zuordnungsdaten. Certificate Usage: 0 und 1 stützen sich auf öffentliche Zertifizierungsstellen, 2 (DANE-TA) benennt einen Vertrauensanker, 3 (DANE-EE) pinnt das eigene Zertifikat oder den eigenen Schlüssel des Servers. Selector: 0 für das vollständige Zertifikat, 1 nur für den öffentlichen Schlüssel. Matching Type: 0 für die exakten Daten, 1 für einen SHA-256-Hash, 2 für SHA-512.
RFC 7671 empfiehlt für die meisten Sites 3 1 1 (den SHA-256-Hash des öffentlichen Schlüssels des Servers), weil sich der Eintrag nicht ändern muss, wenn ein Zertifikat mit demselben Schlüssel erneuert wird. Laut RFC 7672 sollten TLSA-Records für Port 25 die Verwendungen 0 und 1 nicht nutzen.
Der Eintrag zählt nur, wenn die Zone mit DNSSEC signiert ist. Aktualisieren Sie ihn vor einem Schlüsselwechsel, sonst verweigern Absender, die DANE validieren, die Zustellung.
Beispiel
_25._tcp.mx1.example.com. IN TLSA 3 1 1 8cb0fc6c527506a053f4f14c8464bebbd6dede1738d11468dd953d7d6a3021f1Verwandte Begriffe
Auf dieser Website
Quellen
Worauf diese Definition beruht. Die Formulierung stammt von uns, die Fakten von den Quellen.
- RFC 6698: The DNS-Based Authentication of Named Entities (DANE) TLS Protocol: TLSA, section 2.1rfc-editor.org
- RFC 7671: The DANE Protocol: Updates and Operational Guidance, section 5.1rfc-editor.org
- RFC 7672: SMTP Security via Opportunistic DANE TLS, section 3.1.3rfc-editor.org
- Microsoft Learn: How SMTP DANE workslearn.microsoft.com
Alle 432 Begriffe im GlossarDas Wiki: Blacklists und Bounce-Codes