よくあるご質問
TLSAレコードとは何ですか？
TLSAレコードは、DANEがTLS証明書または公開鍵を特定のドメイン、ポート、プロトコルに関連付けるために使用するDNSレコードタイプ（タイプ52）です。このレコードにはDNSSECによって保護された証明書のフィンガープリントが格納されるため、接続するクライアントは、認証局に依存することなく、TLSハンドシェイク中に証明書を検証することができます。
DNSにおけるDANEとは何ですか？
DANE（DNS-Based Authentication of Named Entities）は、TLSAレコードを使用してTLS証明書情報をDNSに直接公開し、DNSSECによって保護されるセキュリティプロトコルです。ドメイン所有者が自身のサービスに対してどの証明書を信頼すべきかを正確に指定できるようにすることで、サードパーティの認証機関への依存を解消します。
メール用DANEには、どのポートとプロトコルを使用すべきですか？
メールサーバー間のSMTPメール配信には、ポート 25 ～とともに TCPTLSAの記録は、以下のURLで公開されています。 _25._tcp.[mx-hostname]なお、メールの場合、TLSAレコードはルートドメインではなく、MXホスト名に設定する必要があります。ポートは 443 / TCP HTTPS用。
DANEとMTA-STSを併用することはできますか？
はい、その通りです。また、そのようにすることをお勧めします。DANEはDNSSECで固定された証明書を使用してTLSを強制しますが、MTA-STSはHTTPSでホストされたポリシーを通じてTLSを強制します。両方を併用することで、カバー範囲を最大限に広げることができます。DANEは不正なCAから保護し、MTA-STSはDANEをサポートしていない送信サーバーをカバーします。
DANEを機能させるには、DNSSECが必要ですか？
はい。DNSSECはDANEにとって必須の要件です。DNSSECがなければ、誰でも悪意のある証明書を指す偽のTLSAレコードを公開できてしまい、検証全体が無意味になってしまいます。DNSSECはDNSレコードに暗号署名を行うため、リゾルバーはレコードが改ざんされていないことを確認できます。
DANE-TA（用法2）とDANE-EE（用法3）の違いは何ですか？
DANE-TA（トラストアンカー、使用法 2）は、中間CAまたはルートCAの証明書と照合します。そのCAによって署名された証明書であれば、すべて検証に合格します。 DANE-EE（エンドエンティティ、使用法 3）は、サーバー自身の証明書または公開鍵と直接照合します。SMTP の場合、RFC 7672 では、セレクタ 1（公開鍵）および照合タイプ 1（SHA-256）を使用した使用法 3 が推奨される構成です。
