Registro TLSA
El registro DNS que usa DANE para atar un certificado TLS o una clave pública a un servicio, publicado en un nombre como _25._tcp.mx.example.com.
Qué significa
Un registro TLSA tiene tres números y los datos de asociación. Uso del certificado: 0 y 1 se apoyan en autoridades de certificación públicas, 2 (DANE-TA) nombra un ancla de confianza, 3 (DANE-EE) fija el propio certificado o la clave del servidor. Selector: 0 para el certificado completo, 1 solo para la clave pública. Tipo de coincidencia: 0 para los datos exactos, 1 para un hash SHA-256, 2 para SHA-512.
El RFC 7671 recomienda 3 1 1 (el hash SHA-256 de la clave pública del servidor) para la mayoría de los sitios, porque el registro no tiene que cambiar cuando se renueva un certificado con la misma clave. El RFC 7672 dice que los registros TLSA del puerto 25 no deben usar los usos 0 ni 1.
El registro solo cuenta cuando la zona está firmada con DNSSEC. Actualízalo antes de cambiar las claves, o los remitentes que validan DANE rechazarán la entrega.
Ejemplo
_25._tcp.mx1.example.com. IN TLSA 3 1 1 8cb0fc6c527506a053f4f14c8464bebbd6dede1738d11468dd953d7d6a3021f1Términos relacionados
En este sitio
Fuentes
En qué se basa esta definición. La redacción es nuestra; los hechos son de las fuentes.
- RFC 6698: The DNS-Based Authentication of Named Entities (DANE) TLS Protocol: TLSA, section 2.1rfc-editor.org
- RFC 7671: The DANE Protocol: Updates and Operational Guidance, section 5.1rfc-editor.org
- RFC 7672: SMTP Security via Opportunistic DANE TLS, section 3.1.3rfc-editor.org
- Microsoft Learn: How SMTP DANE workslearn.microsoft.com
Los 432 términos del glosarioLa wiki: blacklists y códigos de rebote