DANE an TLSA-Records
Eng Manéier, fir d'Zertifikat vun Ärem Mailserver am DNS ze pinnen, mat DNSSEC signéiert, sou datt sendend Serveren et verifizéiere kënnen, ouni iergendenger Certificate Authority ze vertrauen.
DANE publizéiert en Hash vum Zertifikat oder vum ëffentleche Schlëssel vun Ärem Mailserver an engem TLSA-Record op _25._tcp.<mail host>. E sendende Server, deen DANE ënnerstëtzt, kuckt de Record no, verbënnt sech iwwer TLS a kontrolléiert, ob d'Zertifikat, dat e gewise kritt huet, passt. Wann net, gëtt d'Liwwerung refuséiert an net einfach ouni Verschlësselung gemaach.
De Record huet dräi Zuelen an en Hash: Usage (3 heescht "vertrau genee dësem Zertifikat", 2 "vertrau dëser CA"), Selector (1 = nëmmen den ëffentleche Schlëssel, 0 = dat ganzt Zertifikat) a Matching Type (1 = SHA-256). 3 1 1 mam SHA-256 vum ëffentleche Schlëssel ass déi gewéinlech Wiel, well et Zertifikats-Verlängerungen iwwerlieft, déi deeselwechte Schlëssel behalen.
DANE bedeit eréischt eppes, wann den TLSA-Record duerch DNSSEC validéiert ass; net signéiert Records ginn ignoréiert. Signéiert fir d'éischt d'Zone, publizéiert dann de Record, a verifizéiert no all Zertifikatswiessel, well e veraalte Record d'Mail vu Sender, déi DANE duerchsetzen, zréckgoe léisst.