Je winkelwagen is leeg
Producten die je toevoegt, verschijnen hier.
Een TLSA record is een DNS-record dat vastlegt welk certificaat bij een server hoort. Het vormt de basis van DANE, DNS-based Authentication of Named Entities. Een server die verbinding maakt, controleert het certificaat van de andere kant tegen dit record, en klopt het niet, dan gaat de verbinding niet door.
Het record staat onder een naam met poort en protocol, zoals _25._tcp.mail.jouwdomein.nl, en bevat vier velden. Usage bepaalt wat je vastlegt: een certificaatautoriteit of je eigen certificaat. Selector kiest tussen het hele certificaat of alleen de publieke sleutel, en matching type bepaalt de hashfunctie, bijvoorbeeld SHA-256. Daarna volgt de hash zelf.
Voor mailservers raadt RFC 7672 de combinatie 3 1 1 aan: een SHA-256-hash van de publieke sleutel van je eigen certificaat. Zolang je dezelfde sleutel houdt, hoef je het record bij een verlenging dus niet aan te passen. Wissel je wel van sleutel, publiceer dan eerst het nieuwe record, anders kan mail blijven hangen.
Een TLSA record werkt alleen als je domein DNSSEC gebruikt, omdat een aanvaller het record zonder die handtekening kan vervalsen. In de praktijk gebruik je TLSA vooral voor mail tussen servers, want Google Chrome ondersteunt DANE voor websites niet. Voor Nederlandse overheden staan STARTTLS en DANE sinds 2016 op de pas-toe-of-leg-uit-lijst.
Geschiedenis
DANE ontstond in de DANE-werkgroep van de IETF. Het idee: als DNS met DNSSEC betrouwbaar is, kan het ook certificaten publiceren. Paul Hoffman en Jakob Schlyter schreven de specificatie van het TLSA record, die in 2012 verscheen als RFC 6698.
Belangrijke mijlpalen:
- Augustus 2012: RFC 6698 definieert het TLSA record
- Oktober 2015: RFC 7672 beschrijft DANE voor SMTP, het verkeer tussen mailservers
- 2016: Forum Standaardisatie zet STARTTLS en DANE op de pas-toe-of-leg-uit-lijst voor ontvangende mailservers
- 29 november 2018: De verplichting wordt uitgebreid naar verzendende mailservers
Bronnen
- IETF (2012) - RFC 6698 - The DNS-Based Authentication of Named Entities (DANE) TLS Protocol: TLSA
- IETF (2015) - RFC 7671 - DANE Protocol: Updates and Operational Guidance
- IETF (2015) - RFC 7672 - SMTP Security via Opportunistic DANE TLS
- Forum Standaardisatie - STARTTLS en DANE
- Wikipedia - DNS-based Authentication of Named Entities