DNS-based Authentication of Named Entities

DNS-based Authentication of Named Entities（DANE、名前付きエンティティの DNS ベースの認証）は、一般的に Transport Layer Security（TLS）に使用されるX.509証明書を、DNS Security Extensions（DNSSEC）を使用して、DNS 名にバインドすることを可能にする通信プロトコルである。

認証局（CA）を持たないTLSクライアント・サーバーのエンティティを認証するための方法として、RFC6698で提案された。

論理的根拠 
現在、TLS/SSL 暗号化は認証局（CA）が発行した証明書に基づいている。過去数年間に、多くのCAプロバイダが深刻なセキュリティ侵害（）を受け、ドメインを所有者以外が有名なドメインの証明書を発行できるようになってしまう問題が起きた。いずれかのCAがセキュリティ侵害を受けただけで、任意のドメイン名の証明書を発行できてしまうため、多数のCAを信頼することはセキュリティ上の問題となりうる。DANEを使用すると、ドメイン名の管理者は、そのドメインのTLSクライアントまたはサーバーで使用されているキーをDNSに格納できる。DANEのセキュリティモデルを機能させるためには、DNSレコードをDNSSECで署名する必要がある。

さらにDANEでは、ドメインの所有者が、特定のリソースのために証明書の発行を許可するCAを指定することができるため、CAが任意のドメインの証明書を発行することができてしまう問題を解決することができる。

サポート

アプリケーション 
 Google Chrome DANE をサポートしていない。Adam Langley によると、コードが書かれていたが、現在の Chrome には存在しない。しかし、アドオンを利用して使用可能である。
 Mozilla Firefox アドオンを介してサポートしている。
 Irssi

サーバー 
 Postfix
 
 mailbox.org
 Dotplex
 mail.de
 Tutanota.de

ライブラリ 
 GnuTLS

標準規格 
  Use Cases and Requirements for DNS-Based Authentication of Named Entities (DANE)
  The DNS-Based Authentication of Named Entities (DANE) Transport Layer Security (TLS) Protocol: TLSA
  Adding Acronyms to Simplify Conversations about DNS-Based Authentication of Named Entities (DANE)

参照

関連項目 
 DNS Certification Authority Authorization

外部リンク 
 List of DANE test sites
 Verisign Labs DANE Demonstration 
 Online tool to check domains for DNSSEC and DANE support 

インターネットのプロトコル
インターネット標準
Domain Name System
Transport Layer Security
長大な項目名