DANE (DNS-based Authentication of Named Entities) ist das Verfahren, das Zertifikate über unterschriebene DNS-Einträge verbindlich festlegt. Wer die Zone kontrolliert, bestimmt damit, welches Zertifikat gilt.
- DANE (DNS-based Authentication of Named Entities)
Das Verfahren, das Zertifikate über unterschriebene DNS-Einträge verbindlich festlegt.
Beispiel: „Mit DANE nahm der Mailserver allein das Zertifikat an, dessen Fingerabdruck in der Zone stand.“Hinterlegt wird der Fingerabdruck in einem eigenen Eintragstyp unter einem Namen wie _25._tcp.mail.example.de. Das Verfahren wirkt allein in Zonen mit unterschriebenen Antworten.
Abgrenzung zum CAA Record: Dieser sagt, wer ausstellen darf. DANE sagt, welches Zertifikat tatsächlich gilt.
Wofür DANE benutzt wird
Vor allem für E-Mail zwischen Servern. Dort gibt es keine Adresszeile, in der ein Mensch ein Schloss sehen könnte, und ein Angreifer kann die Verschlüsselung unbemerkt abschalten; mit DANE fällt genau das auf.
Im Web hat sich das Verfahren nicht durchgesetzt, weil Browser es nicht unterstützen und die Prüfung dort über die Zertifikatsstellen läuft, siehe SSL-Zertifikat.
Was DANE voraussetzt
Unterschriebene Antworten. Ohne sie ließe sich der hinterlegte Fingerabdruck fälschen, und das Verfahren wäre wertlos; deshalb ist DNSSEC die Bedingung und keine Empfehlung.
Dazu kommt Sorgfalt beim Wechsel: Wer ein Zertifikat tauscht, ohne den Eintrag nachzuziehen, macht seinen Mailserver für alle prüfenden Gegenstellen unerreichbar, siehe DNSSEC.
Wo DANE verbreitet ist
In Europa, besonders im deutschsprachigen Raum und in den Niederlanden. Große Mailanbieter dort prüfen es, und für Behörden ist es teils vorgeschrieben.
Für ein Unternehmen mit eigenem Mailserver ist es damit eine Überlegung wert; wer seine E-Mail bei einem großen Anbieter führt, bekommt die Entscheidung von dort abgenommen.