RFC 6698: DANE: TLS-Schlüssel über DNSSEC binden
Zusammenfassung
RFC 6698 führt TLSA-Einträge ein, mit denen DNSSEC-gesicherte Domains Zertifikate oder Schlüssel für TLS benennen. DANE verschiebt Vertrauensentscheidungen teilweise in die DNS-Hierarchie.
Ideen
- TLSA verbindet Dienst, Port und Transport mit Zertifikatsdaten.
- DNSSEC schützt die Herkunft des Eintrags.
- Nutzungsmodi bestimmen Verhältnis zur öffentlichen PKI.
Einsichten
- Zusätzliche Vertrauenspfade erhöhen Möglichkeiten und Betriebsverantwortung.
Bemerkungen
- RFC 6698 trägt den Status „Vorgeschlagener Standard“; aktuelle Errata und Nachfolgedokumente bleiben zusätzlich zu prüfen.
Empfehlungen
- Validiere DNSSEC vor jeder DANE-Entscheidung.
- Plane Zertifikatswechsel mit überlappenden TLSA-Daten.
Referenzen
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.