DANE
DNS-Based Authentication of Named Entities: de vingerafdruk van het certificaat van een mailserver publiceren in met DNSSEC ondertekende TLSA-records, zodat verzenders TLS kunnen eisen en controleren.
Wat het betekent
Met DANE voor SMTP (RFC 7672) laat een ontvangend domein via DNS weten dat zijn MX-hosts TLS ondersteunen en welk certificaat of welke sleutel ze gebruiken. Het domein ondertekent zijn zone met DNSSEC en publiceert voor elke MX-host een TLSA-record op _25._tcp. Een verzendende server die een gevalideerd TLSA-record vindt, moet STARTTLS gebruiken en het certificaat daartegen controleren; mislukt een van beide, dan levert hij niet af.
DNSSEC maakt het betrouwbaar: niet-ondertekende TLSA-records worden genegeerd. Voor SMTP raadt RFC 7672 de usages DANE-EE (3) en DANE-TA (2) aan, zodat er geen publieke certificaatautoriteit nodig is.
Exchange Online ondersteunt DANE voor uitgaande en inkomende mail, en de bijbehorende foutcodes vallen in Microsofts reeks 5.7.32x.
Voorbeeld
_25._tcp.mx1.example.com. IN TLSA 3 1 1 0f8b...c6a2Verwante begrippen
Op deze site
Bronnen
Waar deze definitie op steunt. De formulering is van ons, de feiten zijn van hen.
- RFC 7672: SMTP Security via Opportunistic DANE TLSrfc-editor.org
- RFC 6698: The DNS-Based Authentication of Named Entities (DANE) TLS Protocol: TLSArfc-editor.org
- Microsoft Learn: How SMTP DANE workslearn.microsoft.com
Alle 432 begrippen in de begrippenlijstDe wiki: blacklists en bouncecodes