Wat is een DANE en DNSSEC?

In dit artikel leggen wij aan u uit wat over deze twee belangrijke beveiligingsprotocols, waar ze voor dienen en waarom het zo belangrijk is.

Wat is DANE?

DANE is een beveiligingsprotocol dat verder gaat dan het standaard HTTPS protocol in het beveiligen van de vertrouwensketen tussen server, Certificate Authority en (eind-)gebruiker.

In het huidige HTTPS protocol wordt er van uitgegaan dat certificaten die uitgegeven worden door een vertrouwde Certificate Authority ook automatisch als veilig worden beschouwd. Hierbij wordt het root certificaat van een Certificate Authority gebruikt als een zogenaamd trust anchor. Dit betekent echter dat wanneer een vertrouwde Certificate Authority gehackt wordt, er valse certificaten kunnen worden uitgegeven die door browsers niet als onveilig worden verklaard.

Wanneer werkt DANE?

DANE is een (beveiligings-)protocol dat alleen werkt als DNSSEC actief is. DANE laat de internetbrowser kijken naar het TLSA record. In dit record staat vervolgens de public fingerprint van een certificaat waarvan de gebruiker zelf aangeeft dat het veilig is. Dit kan bijvoorbeeld een intermediate certificaat zijn van de CA die het certificaat heeft uitgegeven dat op de server staat, maar kan ook de fingerprint van het certificaat zelf zijn.

Wat is DNSSEC?

DNSSEC is in het leven geroepen om de veiligheid van domeinen op een hoger (beveiligings-) niveau te trekken. In dit protocol wordt een apart certificaat aangemaakt voor de nameserver van een domein. Een samenvatting van dit publieke certificaat wordt vervolgens aan de desbetreffende registry afgegeven. Bij elke request vanuit een internetbrowser wordt dan niet alleen de nameserver gegevens, maar ook de handtekening die bij het certificaat hoort teruggegeven. Als deze handtekening niet overeenkomt met de gegevens zoals ze terugkomen van de nameserver, of helemaal ontbreekt in die response, is de DNS data dus ongeldig.

Hoe in te stellen?

Het is mogelijk om de bovenstaande protocollen in te schakelen. Informeer even bij ons naar de mogelijkheden.