DANE (DNS-based Authentication of Named Entities), bir sunucunun hangi sertifikayı sunması gerektiğini alan adı sahibinin DNS üzerinden doğrudan ilan etmesine olanak veren bir mekanizmadır. Bu ilan, TLSA adı verilen özel bir DNS kayıt türünde taşınır. İkisi birlikte, sertifika güvenini kamu sertifika otoritelerinin yanına, alan adı sahibinin kendi elindeki bir dayanak ekler.

DANE, bir sunucunun beklenen sertifikasını DNSSEC ile imzalı DNS kayıtlarına bağlayarak, bu bağlamayı TLSA kayıtları aracılığıyla taşıyan bir doğrulama yöntemidir.

Sorunun kökeninde şu var: klasik SSL/TLS protokolü güveni, tarayıcı ve işletim sistemine önceden yüklenmiş yüzlerce kök otoriteye dayanır. Bunlardan herhangi biri hatalı ya da kötü niyetle bir sertifika verirse, istemci bunu geçerli sayabilir. DANE bu geniş güven yüzeyini daraltır: alan adı sahibi, hangi sertifikanın veya hangi otoritenin kabul edileceğini kendisi sabitler.

TLSA Kaydı Neyi Söyler?

Bir TLSA kaydı, belirli bir port ve protokol için beklenen sertifikayı tanımlayan üç seçici alan ile bir veri parçası taşır. Bu alanlar; bağlamanın tam sertifikaya mı yoksa yalnızca açık anahtara mı yapıldığını, kaydın kök otoriteyi mi yoksa uç sertifikayı mı çıpaladığını ve verinin tam mı yoksa özet biçiminde mi tutulduğunu belirtir. İstemci sunucuya bağlandığında, sunulan X.509 sertifikası ile TLSA kaydındaki değeri karşılaştırır; eşleşme yoksa bağlantıyı reddeder.

DNSSEC Neden Vazgeçilmez?

DANE’nin tüm güvenliği, TLSA kaydının kurcalanamamasına bağlıdır. Eğer bir saldırgan DNS yanıtlarını değiştirebilseydi, sahte bir sertifikayı meşru gösteren sahte bir TLSA kaydı da uydurabilirdi. Bu yüzden DANE, imzalı ve doğrulanabilir kayıtlar sağlayan DNSSEC olmadan anlamlı değildir. DNSSEC, TLSA kaydının gerçekten alan adı sahibinden geldiğini ve yolda değiştirilmediğini kanıtlar; DANE de bu kanıtın üzerine sertifika bağlamasını kurar.

DANE pratikte en çok sunucular arası e-posta trafiğinde, yani SMTP üzerinde işe yarar. Klasik e-posta iletiminde şifreleme çoğu zaman fırsatçıdır ve düşürme saldırılarına açıktır; TLSA kaydı bulunan bir alan adı, karşı sunucudan şifreli ve doğrulanmış bağlantı beklendiğini kesin biçimde ilan eder. Alan adının kök çözümlemesinin doğru yapılandırılması bu noktada kritiktir; TLSA’nın çıpaladığı ad, temelde yine DNS altyapısına dayanır.

Kurumsal Etki

DANE’yi konuşlandırmak, sertifika değişimlerinde disiplin gerektirir: her sertifika yenilemesinde TLSA kaydının da eşzamanlı güncellenmesi şarttır, aksi halde erişilebilirlik kesintileri yaşanır. Buna karşılık kazanç, otorite tabanlı güvenin zayıf noktalarını kapatan, alan adı sahibinin kontrolünde bir doğrulama katmanıdır. DNSSEC, TLSA ve sertifika döngüsünün uyumlu çalıştığını doğrulamak için bir altyapı ve mimari gözden geçirme çalışması, konuşlandırma öncesi riskleri ortaya çıkarır.