DNS-based Authentication of Named Entities

DNS-based Authentication of Named Entities（DANE、名前なまえ付つきエンティティの DNS ベースの認証にんしょう）は、一般いっぱん的てきに Transport Layer Security（TLS）に使用しようされるX.509証明しょうめい書しょを、DNS Security Extensions（DNSSEC）を使用しようして、DNS 名なにバインドすることを可能かのうにする通信つうしんプロトコルである^[1]。

認証にんしょう局きょく（CA）を持もたないTLSクライアント・サーバーのエンティティを認証にんしょうするための方法ほうほうとして、RFC6698で提案ていあんされた。

論理ろんり的てき根拠こんきょ

現在げんざい、TLS/SSL 暗号あんごう化かは認証にんしょう局きょく（CA）が発行はっこうした証明しょうめい書しょに基もとづいている。過去かこ数すう年間ねんかんに、多おおくのCAプロバイダが深刻しんこくなセキュリティ侵害しんがい（security breaches（英語えいご版ばん））を受うけ、ドメインを所有しょゆう者しゃ以外いがいが有名ゆうめいなドメインの証明しょうめい書しょを発行はっこうできるようになってしまう問題もんだいが起おきた。いずれかのCAがセキュリティ侵害しんがいを受うけただけで、任意にんいのドメイン名めいの証明しょうめい書しょを発行はっこうできてしまうため、多数たすうのCAを信頼しんらいすることはセキュリティ上じょうの問題もんだいとなりうる。DANEを使用しようすると、ドメイン名めいの管理かんり者しゃは、そのドメインのTLSクライアントまたはサーバーで使用しようされているキーをDNSに格納かくのうできる。DANEのセキュリティモデルを機能きのうさせるためには、DNSレコードをDNSSECで署名しょめいする必要ひつようがある。

さらにDANEでは、ドメインの所有しょゆう者しゃが、特定とくていのリソースのために証明しょうめい書しょの発行はっこうを許可きょかするCAを指定していすることができるため、CAが任意にんいのドメインの証明しょうめい書しょを発行はっこうすることができてしまう問題もんだいを解決かいけつすることができる。

サポート

アプリケーション

Google Chrome DANE をサポートしていない。Adam Langley によると、コードが書かかれていたが^[2]、現在げんざいの Chrome には存在そんざいしない^[3]。しかし、アドオンを利用りようして使用しよう可能かのうである^[4]^[5]。
Mozilla Firefox アドオンを介かいしてサポートしている^[6]。
Irssi^[7]

サーバー

Postfix^[8]
Posteo（英語えいご版ばん）^[9]
mailbox.org^[10]
Dotplex^[11]
mail.de^[12]
Tutanota.de^[13]

ライブラリ

標準ひょうじゅん規格きかく

RFC 6394 Use Cases and Requirements for DNS-Based Authentication of Named Entities (DANE)
RFC 6698 The DNS-Based Authentication of Named Entities (DANE) Transport Layer Security (TLS) Protocol: TLSA
RFC 7218 Adding Acronyms to Simplify Conversations about DNS-Based Authentication of Named Entities (DANE)

参照さんしょう

[脚注きゃくちゅうの使つかい方かた]

^ “DANE: Taking TLS Authentication to the Next Level Using DNSSEC”. ISOC. 2015年ねん8月がつ10日とおか閲覧えつらん。
^ Adam Langley (2012年ねん10月がつ20日はつか). “DANE stapled certificates”. ImperialViolet. 2014年ねん4月がつ16日にち閲覧えつらん。
^ Adam Langley (2011年ねん6月がつ16日にち). “DNSSEC authenticated HTTPS in Chrome”. ImperialViolet. 2014年ねん4月がつ16日にち閲覧えつらん。
^ How To Add DNSSEC Support To Google Chrome
^ DNSSEC Validator - Chrome add-on
^ “DNSSEC/TLSA Validator”. 2015年ねん8月がつ10日とおか閲覧えつらん。
^ “[irssi] Commit d826896f74925f2e77536d69a3d1a4b86b0cec61”. github.com. 2014年ねん7月がつ18日にち閲覧えつらん。
^ “Postfix TLS Support”. Postfix.org. 2014年ねん4月がつ16日にち閲覧えつらん。
^ posteo.de. "Posteo unterstützt DANE/TLSA". 2014年ねん5月がつ15日にち閲覧えつらん。
^ mailbox.org. "DANE und DNSsec für sicheren E-Mail-Versand bei mailbox.org". 2014年ねん5月がつ29日にち閲覧えつらん。
^ dotplex.de. "Secure Hosting mit DANE/TLSA". 2014年ねん6月がつ21日にち閲覧えつらん。
^ mail.de. "mail.de unterstützt DANE/TLSA - Kein Beitritt in Verbund "E-Mail made in Germany"". 2014年ねん6月がつ22日にち閲覧えつらん。
^ tutanota.de. "DANE Everywhere?! Let's Make the Internet a Private Place Again". 2015年ねん1月がつ13日にち閲覧えつらん。
^ “Verifying a certificate using DANE (DNSSEC)”. Gnu.org. 2015年ねん8月がつ10日とおか閲覧えつらん。
^ Bug #77327 for Net-DNS: DANE TLSA support, rt.cpan.org
^ Net_DNS2 v1.2.5 – DANE TLSA Support

外部がいぶリンク

[1] “DANE: Taking TLS Authentication to the Next Level Using DNSSEC”. ISOC. 2015年ねん8月がつ10日とおか閲覧えつらん。

[2] Adam Langley (2012年ねん10月がつ20日はつか). “DANE stapled certificates”. ImperialViolet. 2014年ねん4月がつ16日にち閲覧えつらん。

[3] Adam Langley (2011年ねん6月がつ16日にち). “DNSSEC authenticated HTTPS in Chrome”. ImperialViolet. 2014年ねん4月がつ16日にち閲覧えつらん。

[4] How To Add DNSSEC Support To Google Chrome

[5] DNSSEC Validator - Chrome add-on

[6] “DNSSEC/TLSA Validator”. 2015年ねん8月がつ10日とおか閲覧えつらん。

[7] “[irssi] Commit d826896f74925f2e77536d69a3d1a4b86b0cec61”. github.com. 2014年ねん7月がつ18日にち閲覧えつらん。

[8] “Postfix TLS Support”. Postfix.org. 2014年ねん4月がつ16日にち閲覧えつらん。

[9] steo.de. "Posteo unterstützt DANE/TLSA". 2014年ねん5月がつ15日にち閲覧えつらん。

[10] x.org. "DANE und DNSsec für sicheren E-Mail-Versand bei mailbox.org". 2014年ねん5月がつ29日にち閲覧えつらん。

[11] tplex.de. "Secure Hosting mit DANE/TLSA". 2014年ねん6月がつ21日にち閲覧えつらん。

[12] .de. "mail.de unterstützt DANE/TLSA - Kein Beitritt in Verbund "E-Mail made in Germany"". 2014年ねん6月がつ22日にち閲覧えつらん。

[13] tutanota.de. "DANE Everywhere?! Let's Make the Internet a Private Place Again". 2015年ねん1月がつ13日にち閲覧えつらん。

[14] “Verifying a certificate using DANE (DNSSEC)”. Gnu.org. 2015年ねん8月がつ10日とおか閲覧えつらん。

[15] Bug #77327 for Net-DNS: DANE TLSA support, rt.cpan.org

[16] Net_DNS2 v1.2.5 – DANE TLSA Support

[1]

[2]

[3]

[4]

[5]

[6]

[7]

[8]

[9]

[10]

[11]

[12]

[13]

[14]

[15]

[16]