DANE (DNS-based Authentication of Named Entities), bir hizmetin hangi sertifika veya anahtarı kullanacağını DNS'te TLSA kaydıyla ilan etmesini sağlar. Kayıt, DNSSEC ile imzalandığında istemci, CA sistemine ek veya alternatif bir doğrulama yolu kazanır. Web tarayıcıları DANE'yi yaygın olarak desteklemez; en çok SMTP sunucuları arasındaki TLS doğrulamasında kullanılır.
TLSA kaydı alanları
- Usage (0-3): Kaydın CA'yı mı, son kullanıcı sertifikasını mı bağladığını belirler. 3 (DANE-EE) doğrudan sunucu sertifikasını işaret eder.
- Selector: 0 = tüm sertifika, 1 = yalnızca açık anahtar (SPKI).
- Matching type: 0 = tam veri, 1 = SHA-256, 2 = SHA-512.
- Certificate data: Eşleştirilecek özet.
Kayıt oluşturma
- Alan adınız için DNSSEC'in etkin ve sağlıklı olduğundan emin olun; DNSSEC yoksa TLSA güvenilir sayılmaz.
- Açık anahtar özetini üretin (3 1 1 biçimi için):
openssl x509 -in sertifika.pem -noout -pubkey | openssl pkey -pubin -outform DER | openssl dgst -sha256 -binary | xxd -p -c 64- Kaydı ekleyin. Örnek (SMTP için 25. port):
_25._tcp.mail.alanadi.com. IN TLSA 3 1 1 <yukarıdaki-özet>- Doğrulayın:
dig TLSA _25._tcp.mail.alanadi.com +dnssec(AD bayrağı dönmelidir).
Yenilemede dikkat
- SPKI (selector 1) özetini kullanırsanız, sertifika yenilenirken aynı anahtar çiftini korumak kaydı değiştirme gereğini ortadan kaldırır.
- Anahtar değiştirecekseniz önce yeni özeti kayda ekleyin, DNS TTL süresi geçtikten sonra sertifikayı geçirin.
Ne zaman kullanılır?
DANE özellikle e-posta sunucuları arasında, CA'ya güvenmeden oportünistik TLS'i doğrulamak isteyen kurumlarda anlamlıdır. Genel web trafiğinde tarayıcı desteği sınırlı olduğundan, DANE tek başına HTTPS güvenini sağlamaz; CA imzalı sertifika kullanımı sürmelidir. Uygulamadan önce hem DNS sağlayıcınızın hem de karşı tarafın DNSSEC ve TLSA desteğini doğrulayın.
DANE, genel web sitelerinde CA tabanlı HTTPS'in yerini almaz. Web siteniz için geçerli bir sertifika gerekiyorsa SSL sertifikaları sayfasına, sorunlarda SSL sorun giderici aracına bakın.