Was ist ein DNS-based Authentication of Named Entities (DANE)?
DANE steht für DNS-based Authentication of Named Entities und ist ein Sicherheitsverfahren, das dazu dient, den Datenverkehr auf der Transport-Ebene besonders zu schützen (RFC 7671). Das Sicherheitsverfahren erweitert die verbreitete Transportwegverschlüsselung SSL/TLS in der Weise, dass die verwendeten Zertifikate nicht unbemerkt durch Angreifer ausgewechselt werden können, z.B. für einen Man-in-the-Middle-Angriff (MITM)-Angriff. DANE erhöht so die IT-Sicherheit beim verschlüsselten Transport von E-Mails und beim Zugriff auf Webseiten.
Dazu werden X.509-Zertifikate mit DNS-Record verknüpft und per DNS-Security Extensions (DNSSEC) gesichert. DANE kann außerdem von Domäneninhabern dazu genutzt werden, eigene Zertifikate auszustellen, ohne bestehende Zertifizierungsstelle zu nutzen.
DANE benutzt sogenannte TLSA-Einträge (RFC 7671) in der Zone im DNS, um Vertrauen in TLS-Zertifikate zu gewährleisten. Dazu muss man der DNS-Antwort vertrauen. Diese Aufgabe wird mit DNSSEC umgesetzt. Man signiert die DNS-Records oder DNS-Antworten und kann daher deren Verifizierbarkeit gewährleisten. Durch Überprüfung der zugehörigen Signatur wird überprüft, ob ein angefragter DNS-Record von seinem autorisierenden Nameserver für die entsprechende Domäne stammt und unterwegs nicht manipuliert wurde.
So bietet DANE eine vom Zertifikatsvertrauen unabhängige Überprüfung der Authentizität des Servers, mit dem eine TLS-Verbindung aufgebaut werden soll.
Das Sicherheitsverfahren DANE erweitert die verbreitete Transportwegverschlüsselung SSL/TLS dahingehend, dass die verwendeten Zertifikate nicht unbemerkt ausgewechselt werden können, und erhöht damit die IT-Sicherheit von E-Mails und beim Zugriff auf Webseiten.
