Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
中文
Entry № 270

DANE

DANE 是什么?

DANERFC 6698 定义的协议族,利用经 DNSSEC 签名的 TLSA 记录,将服务的 TLS 证书或公钥绑定到 DNS 中,降低对公共 CA 的依赖。

DANE (DNS-Based Authentication of Named Entities) 由 RFC 6698 规定,RFC 7672 进一步将其应用于 SMTP。运营者通过发布 TLSA 记录(如 _25._tcp.mail.example.com)指明对应服务的合法证书或公钥。DNSSEC 保证记录在传输中不被篡改。在 SMTP 中,DANE 强制发送 MTA 在 TLSA 验证通过的 MX 上使用 TLS,从而阻断降级与伪证书攻击。DANE 也可用于 HTTPS 等协议,但邮件领域采纳最广。它与 MTA-STS 互补,提供基于 DNSSEC 的更强保证,许多运营者会同时部署两者。要让 DANE 真正生效,DNSSEC 区必须正确维护,证书轮换时也需同步更新 TLSA。

● 示例

  1. 01

    发布 TLSA 记录,让合作伙伴 MTA 在 mail.example.com 未提供预期证书时拒绝投递。

  2. 02

    通过 TLSA 3 1 1 锚定公钥,实现同一密钥对下的证书无缝轮换。

● 常见问题

DANE 是什么?

RFC 6698 定义的协议族,利用经 DNSSEC 签名的 TLSA 记录,将服务的 TLS 证书或公钥绑定到 DNS 中,降低对公共 CA 的依赖。 它属于网络安全的 网络安全 分类。

DANE 是什么意思?

RFC 6698 定义的协议族,利用经 DNSSEC 签名的 TLSA 记录,将服务的 TLS 证书或公钥绑定到 DNS 中,降低对公共 CA 的依赖。

DANE 是如何工作的?

DANE (DNS-Based Authentication of Named Entities) 由 RFC 6698 规定,RFC 7672 进一步将其应用于 SMTP。运营者通过发布 TLSA 记录(如 _25._tcp.mail.example.com)指明对应服务的合法证书或公钥。DNSSEC 保证记录在传输中不被篡改。在 SMTP 中,DANE 强制发送 MTA 在 TLSA 验证通过的 MX 上使用 TLS,从而阻断降级与伪证书攻击。DANE 也可用于 HTTPS 等协议,但邮件领域采纳最广。它与 MTA-STS 互补,提供基于 DNSSEC 的更强保证,许多运营者会同时部署两者。要让 DANE 真正生效,DNSSEC 区必须正确维护,证书轮换时也需同步更新 TLSA。

如何防御 DANE?

针对 DANE 的防御通常结合技术控制与运营实践,详见上方完整定义。

DANE 还有哪些其他名称?

常见的别称包括: 基于 DNS 的命名实体认证。

● 相关术语