DANE koppelt TLS-informatie via DNSSEC aan een mailserver. Lees hoe MX, STARTTLS, DNSSEC en TLSA samenhangen en waar beheer vaak misgaat.
DANE bouwt op DNSSEC
DANE gebruikt TLSA-records onder namen als _25._tcp.mail.voorbeeld.nl. De betrouwbaarheid van die koppeling hangt af van een geldige DNSSEC-keten. Zonder DNSSEC-validatie ontbreekt het fundament waarop de TLSA-gegevens worden vertrouwd.
Waarom dit relevant is voor e-mail
SMTP gebruikt vaak opportunistische TLS. DANE kan ondersteunende verzenders laten controleren welke sleutel of welk certificaat bij de ontvangende mailserver hoort. Dat verkleint de ruimte voor ongewenste terugval of een verkeerde tussenliggende server.
Let op bij certificaatvernieuwing
Vernieuw je een sleutel of certificaat, publiceer dan tijdig passende TLSA-records en houd rekening met DNS-caches. Test zowel de MX-hosts als de geldige DNSSEC-keten. Een achterhaald TLSA-record kan mailaflevering verstoren.
Wat volgt Kynexis Domeinmonitoring?
De monitor legt de extern waarneembare instellingen en veranderingen vast. Een technische deelcontrole beschrijft één afgebakende instelling op een bepaald moment. Waar een uitkomst niet betrouwbaar te toetsen is, tonen we dat als zodanig. Zo voorkom je dat een onbekende status ten onrechte als veilig wordt gelezen.
Bekijk ook het overzicht van domein- en e-mailbeveiliging of lees meer over Kynexis Domeinmonitoring.
Bronnen