Kun DANE toimitus alkaa epäonnistua varmenteen muutoksen jälkeen, selvitä ensin onko avain muuttunut, onko TLSA yhdistys käyttää kyseistä avainta ja mitä varmennetta kukin vastaanottaja todella palvelee. Yleinen varmennevaroitus voi piilottaa a DNSSEC epäonnistuminen, virhe valitsin tai osittainen käyttöönotto. Väärän kerroksen korjaaminen voi jättää postin jonoon, mutta samalla vaikeuttaa todisteiden tulkintaa.
Säilytä epäonnistunut havainto
Viitteet: RFC 7672 §2, RFC 7672 §3.
Tallenna lähettäjän toteutus, aikaleima, vastaanottajan toimialue, valittu MX isäntä, portti, vastaanottavan IP-osoite ja havaittu vika. Säilytä DNSSEC varmennustulos ja asiaankuuluva TLSA-vastaus varmenteen tai sen julkisen sormenjäljen rinnalla. Jos lähettäjä yrittää toista isäntää uudelleen, säilytä se erillisenä havainnona. Koko toimialueesta yhteenveto kojelauta ei voi korvata päätepistetason todisteita.
Erottele kättelyn epäonnistuminen todennusvirheestä kättelyn jälkeen. Verkon aikakatkaisu ei todista, että TLSA-tiivistelmä ei täsmää. Toisaalta varmenteen vastaanottaminen ei todista luotettavaa DNSSEC ketjua eikä onnistunutta DANE todennusta. RFC 7672 määrittelee etsintä- ja vahvistusvaiheet erikseen. RFC 7672 kohdat 2 ja 3.
Tarkista käyttö ja valitsin ennen tavujen vertailua
Viitteet: RFC 6698 §2.1.2, RFC 6698 §2.1.3, RFC 7672 §4.
Jos kyseessä on 3 1 1-yhteys, pura toimitetun varmenteen DER SPKI ja laske SHA-256. Varmenteen uusiminen, joka käyttää samaa avainta uudelleen, voi jättää tämän tiivistelmän ennalleen. Avaimen kierto ei onnistu. Täyden varmenteen valitsimella uusittu varmenne muuttaa assosiaatiota, vaikka avain säilytettäisiin. Älä käytä selaimen varmenteen sormenjälkeä vaihtokelpoisesti SPKI-sormenjäljen kanssa.
Säilytetty 7.11.2026 OpenSSL-kiinnitys, joka on tarkastettu, mutta ei uudelleen suoritettu täällä, loi sertifikaatit A ja B eri avaimilla ja myönsi uudelleen A2:n A:n avaimella. Sen tallennetut laskelmat osoittavat, että A ja A2 jakavat valitun SPKI-koosteen, kun taas B eroaa. Sitten se vertaa tarkoituksella B:tä A:n assosiaatioon ja kirjaa epäonnistumisen. Testi käyttää todellisia luotuja varmennetavuja, mutta se on paikallinen, synteettinen todiste eikä siepattu tuotantotapahtuma.
Rekonstruoi DNS ja päätepisteen ajoitus
Viitteet: RFC 7671 §8.1, RFC 7672 §2.1.
Vertaa uuden avaimen aktivointiaikaa päällekkäisen assosiaatiojoukon julkaisemiseen ja aiempien välimuistissa olevien tietojen vanhenemiseen. Jos B otettiin käyttöön, kun lähettäjä säilytti vain A-tietueita, oikea lähettäjä voi hylätä B:n. Valtuutetun DNS kyselyn tekeminen tapahtuman jälkeen ja B:n näkeminen ei kumoa aikaisempaa välimuistin tilaa.
Tarkista kaikki taustaohjelmat ja osoiteperheet. Palvelin, joka ei latautunut uudelleen, saattaa säilyttää A:n, kun taas muut palvelimet käyttävät B:tä. Vain uusi TLSA-joukko epäonnistuisi silloin vain osassa liikenteestä. DNSSEC virheillä on toinen aikajana: allekirjoitukset, delegointi ja ratkaisijan validointi on tutkittava ilman, että vääriä tietoja käsitellään satunnaisesti allekirjoittamattomina. RFC 7672 kohdat 2.1 ja 4.
Palauta johdonmukaisuus tarkistusten poistamisen sijaan
Viitteet: RFC 7672 §3.1.1, RFC 7672 §4.
Jos avain ei ole vaarantunut, aiemmin suojatun varmenteen palauttaminen tai oikein päällekkäiset yhteydet voivat olla tarkoituksenmukaisia todellisen välimuistin ja käyttöönottotilan mukaan. Koordinoi postin ja DNS omistajat ja tarkista korjaus lähettäjältä. Älä oleta, että TLSA:n poistaminen poistaa välittömästi välimuistiin tallennetut vaatimukset, äläkä muuta tietoturvavirhettä todentamattomaksi toimitukseksi oletuskiertotapana.
DANE-EE:ssä älä tuo jokaista selaimen PKIX-sääntöä diagnoosiin: sen varmenteen käytöllä on erityinen todennussemantiikka, mukaan lukien ei varmenteen ja nimen vastaavuusvaatimusta ja huomioimatta varmenteen vanheneminen DANE-EE-käytössä 3 RFC 7672 §3.1.1:n mukaisesti. Älä laajenna tätä erityistä sääntöä jokaiseen TLSA-käyttöön. Tämä ei oikeuta vanhentuneita toimintavarmenteita, jos muut lähettäjät käyttävät PKIX:ää tai MTA-STS. Säilytetyt 7.11.2026 tarkastelutodisteet sisältävät erikseen aikaleimattua takaisinkytkentää STARTTLS istuntoja. Istunnot tarkastettiin, mutta niitä ei toistettu tätä versiota varten. Valvottu asiakas tarkkailee varmennetta B tallennetussa 127.0.0.1 -portissa, purkaa vertais-SPKI:n ja kieltäytyy vain A-yhteydestä. Korjattu päällekkäinen A-plus-B-säädin hyväksyy reitin. Python/OpenSSL-varmenteen tarkistus erikseen hylkää B:n luottamusmateriaalia A vastaan, kun taas A onnistuu. Yksityinen tarkistuspaketti säilyttää seitsemän transkriptiota ja vertaisvarmenteen tavua neljästä varmenteen sieppauksen saavuttavasta tapauksesta. Epäonnistuneet kättely- ja no-STARTTLS-tapaukset eivät sisällä siepattuja vertaisvarmenteen tavuja. Tämä on pieni laboratorioasiakas, jossa on määritetyt TLSA-tulot, ei Internet DNSSEC -tulosta tai -tuotantoa MTA tapaus. Viestiä ei lähetetty; tuotannon hyväksyntä vaatii edelleen aiotun päätepisteen ja lähettäjän jäljityksen.