Kapan DANE pengiriman mulai gagal setelah perubahan sertifikat, pertama-tama tentukan apakah kuncinya berubah, apakah TLSA association uses that key, and which certificate each receiver actually serves. Peringatan sertifikat generik dapat menyembunyikan a DNSSEC kegagalan, salah pemilih atau penyebaran sebagian. Fixing the wrong layer can leave mail queued while making the evidence harder to interpret.
Pertahankan observasi yang gagal
Referensi: RFC 7672 §2, RFC 7672 §3.
Catat implementasi pengirim, stempel waktu, domain penerima, host MX yang dipilih, port, IP penerima, dan kegagalan yang diamati. Simpan hasil validasi DNSSEC dan jawaban TLSA yang relevan di samping sertifikat atau sidik jari publiknya. Jika pengirim mencoba kembali host lain, simpan itu sebagai pengamatan terpisah. Dasbor yang merangkum seluruh domain tidak dapat menggantikan bukti tingkat titik akhir.
Bedakan kegagalan jabat tangan dari kegagalan otentikasi setelah jabat tangan. Batas waktu jaringan tidak membuktikan bahwa intisari TLSA tidak cocok. Sebaliknya, menerima sertifikat tidak membuktikan rantai DNSSEC tepercaya maupun autentikasi DANE berhasil. RFC 7672 mendefinisikan langkah penemuan dan validasi secara terpisah. RFC 7672 bagian 2 dan 3.
Periksa penggunaan dan pemilih sebelum membandingkan byte
Referensi: RFC 6698 §2.1.2, RFC 6698 §2.1.3, RFC 7672 §4.
For a 3 1 1 association, extract the served certificate's DER SPKI and calculate SHA-256. A certificate renewal that reuses the same key can leave this digest unchanged. Rotasi kunci tidak bisa. With a full-certificate selector, a renewed certificate changes the association even if the key is retained. Do not use a browser's certificate fingerprint interchangeably with an SPKI fingerprint.
Perlengkapan OpenSSL 7 November 2026 yang dipertahankan, diperiksa tetapi tidak dijalankan ulang di sini, membuat sertifikat A dan B dengan kunci berbeda dan menerbitkan ulang A2 dengan kunci A. Its recorded calculations show A and A2 share the selected SPKI digest while B differs. It then deliberately compares B with A's association and records failure. The test uses real generated certificate bytes but is local, synthetic evidence rather than a captured production incident.
Rekonstruksi DNS dan waktu titik akhir
Referensi: RFC 7671 §8.1, RFC 7672 §2.1.
Bandingkan waktu aktivasi kunci baru dengan publikasi kumpulan asosiasi yang tumpang tindih dan kedaluwarsa data cache sebelumnya. Jika B disebarkan saat pengirim menyimpan catatan khusus A, pengirim yang benar dapat menolak B. Menanyakan DNS otoritatif setelah kejadian dan melihat B tidak menyangkal status cache sebelumnya.
Periksa semua backend dan keluarga alamat. Server yang gagal memuat ulang mungkin menyimpan A sementara server lain menggunakan B. Kumpulan TLSA baru saja akan gagal hanya sebagian dari lalu lintas. Kegagalan DNSSEC memiliki garis waktu lain: tanda tangan, delegasi, dan validasi penyelesai harus diperiksa tanpa menganggap data palsu sebagai tidak ditandatangani. RFC 7672 bagian 2.1 dan 4.
Pulihkan konsistensi daripada menonaktifkan pemeriksaan
Referensi: RFC 7672 §3.1.1, RFC 7672 §4.
Jika kunci tidak disusupi, memulihkan sertifikat yang tercakup sebelumnya atau asosiasi yang tumpang tindih dengan benar mungkin merupakan tindakan yang tepat, tergantung pada kondisi cache dan peluncuran yang sebenarnya. Coordinate mail and DNS owners and verify the repair from the sending side. Jangan berasumsi bahwa menghapus TLSA akan segera menghapus persyaratan cache, dan jangan mengubah kegagalan keamanan menjadi pengiriman yang tidak diautentikasi sebagai solusi default.
Untuk DANE-EE, jangan mengimpor setiap aturan PKIX browser ke dalam diagnosis: penggunaan sertifikatnya memiliki semantik autentikasi khusus, termasuk tidak ada persyaratan kecocokan nama sertifikat dan masa berlaku sertifikat yang diabaikan untuk penggunaan DANE-EE 3 berdasarkan RFC 7672 §3.1.1. Jangan memperluas aturan khusus ini ke setiap penggunaan TLSA. Hal ini tidak menjadi alasan bagi sertifikat operasional yang telah habis masa berlakunya jika pengirim lain menggunakan PKIX atau MTA-STS. Separately, the retained 7 November 2026 review evidence contains timestamped loopback STARTTLS sesi. The sessions were inspected but not rerun for this revision. A controlled client observes certificate B at a recorded 127.0.0.1 port, extracts the peer SPKI and refuses an A-only association. The corrected overlapping A-plus-B control accepts the route. Separately, Python/OpenSSL certificate verification rejects B against trust material A, while A succeeds. The private review package retains seven transcripts and peer certificate bytes for the four cases reaching certificate capture. Failed-handshake and no-STARTTLS cases do not contain captured peer certificate bytes. This is a small lab client with configured TLSA inputs, not an Internet DNSSEC result or production MTA insiden. Tidak ada pesan yang terkirim; production acceptance still needs the intended endpoint and sender trace.