A TLSA 레코드 TLS 서비스를 인증서 또는 공개 키 데이터와 연결합니다. 그것은 아니다 TXT 레코드, 다음을 대체합니다. MX 레코드 또는 모든 발신자가 사용하는 증거 DANE. SMTP 의 경우 관련 검색 및 시행 동작은 RFC 7672 에 정의되어 있습니다.
MX 서비스 호스트 이름으로 시작
참고자료: RFC 7672 §2.2, RFC 7672 §3.1.1, RFC 6698 §2.1.
TCP 포트 25의 서비스에 대해 mx.example.com, 기존 TLSA 소유자는 _25._tcp.mx.example.com. 표시되는 도메인 또는 영역 정점에서 자동으로 파생되지 않고 실제 SMTP 교환 호스트 이름에서 이름을 파생합니다. 배포에서 보호하려는 모든 MX 엔드포인트와 DNSSEC 검색 경로에 따른 상태.
TLSA 데이터 필드는 인증서 사용, 선택자, 일치하는 유형 및 연관 데이터. 이 단순 비앨리어싱 경로의 경우 표시된 소유자이면 충분합니다. 별칭에는 RFC 7672 §2.2에서 인증된 TLSA 기본 도메인 처리가 필요합니다. 일반적으로 권장되는 SMTP DANE 프로필은 다음과 같습니다. 3 1 1: DANE-EE 사용, SubjectPublicKeyInfo 선택 및 SHA-256 일치. 이 숫자는 임의의 인증서 텍스트에 대한 일반적인 접두사가 아닌 의미 있는 프로토콜 선택입니다. RFC 7672 및 RFC 7671 에서는 지원되는 사용법과 운영 고려 사항을 설명합니다. 지원되지 않는 조합을 배포 레시피에서 제외하세요.
정확한 바이트 파생
참고자료: RFC 6698 §2.1.2, RFC 6698 §2.1.3.
로컬 PEM 인증서 파일의 경우 cert.pem, Bash 셸에서 먼저 활성화 set -o 파이프실패; 재현 가능한 SPKI 다이제스트 파이프라인은 다음과 같습니다. openssl x509 -in cert.pem -pubkey -noout | openssl pkey -pubin -outform DER | openssl dgst -sha256. 성공하려면 모든 단계가 필요합니다. 선택기 1이 의도된 경우 PEM 텍스트, 표시된 지문 또는 전체 인증서가 아닌 DER 공개 키 표현을 해시합니다.
건설하다 _25._tcp.mx.example.com. 300 IN TLSA 3 1 1 HEXDIGEST, HEXDIGEST를 실제 다이제스트로 대체합니다. 이는 게시 가능한 기록이 아닌 템플릿입니다. 제어된 방법을 통해 의도한 SMTP 끝점에서 제공한 인증서를 얻습니다. STARTTLS 선택한 바이트를 검사하고 비교합니다. 로컬 파일은 서버가 실제로 제공하는 인증서와 다를 수 있습니다.
이전 연결을 중단하기 전에 주요 변경 사항을 테스트하세요.
참고자료: RFC 7672 §4, RFC 7671 §8.
합성 설비 A는 키 A가 있는 테스트 인증서와 A에서 파생된 TLSA 연결을 사용합니다. 예상되는 바이트 비교는 일치합니다. Fixture B는 A의 연결만 유지하면서 키 B가 있는 인증서를 제공합니다. 예상된 비교는 불일치입니다. Fixture C는 계획된 전환에 대해 허용 가능한 연결을 모두 게시하고 A를 종료하기 전에 B에 대해 의도된 끝점을 확인합니다.
타이밍은 캐시된 TLSA 데이터와 모든 활성 서버 인스턴스를 고려해야 합니다. 동일한 공개키로 갱신된 인증서는 동일하게 유지됩니다. 3 1 1 연결은 새로운 키로 변경됩니다. 성공적인 다이제스트 비교는 SMTP DANE 상호 운용성 결과가 아닌 로컬 암호화 확인입니다. 실시간 DNSSEC 및 SMTP 테스트는 별도의 증거 요구 사항으로 남아 있습니다.
대시보드 라벨 대신 운송 확인
참고자료: RFC 7672 §2.2, RFC 7672 §3.
DNSSEC 검증 경로를 사용하여 사용 가능한 TLSA 데이터를 설정한 다음 실제 SMTP 핸드셰이크 및 DANE 지원 구현과의 연결을 테스트합니다. DNS 응답, 유효성 검사 추적, 인증서 체인, 선택한 연결 및 보낸 사람의 결과를 보존합니다. 지원 발신자는 실패한 필수 DANE 인증을 성공적인 보안 전달로 조용히 처리해서는 안 됩니다. 보편적인 전송 보호를 요구하지 마십시오. 발신자 지원 및 정확한 인증된 검색 결과가 중요합니다.
관찰된 연관성 및 검색 확인
참고자료: RFC 4035 §5.
2026년 11월 7일에 서명된 고정 장치는 검사되었지만 이 검토를 위해 다시 실행되지는 않으며 고정된 상위, 인증된 DS 및 하위 DNSKEY를 통해 TLSA RRset의 유효성을 검사합니다. 별도의 루프백 TLS 서비스는 실제로 테스트 인증서 A와 B를 제시했습니다. 수신된 각 핸드셰이크 인증서에서 SPKI를 추출하면 A에 대한 A 일치, A 단독에 대한 B 불일치, A/B 중첩 중 B 일치, A 종료 후 B 일치가 생성되었습니다. 기록에는 타임스탬프, 루프백 끝점, TLS 프로토콜 및 다이제스트가 기록됩니다. 이는 별도의 암호화 요소를 검증합니다. 서비스는 SMTP STARTTLS 아닌 일반 TLS 였으며 통합 DANE 메일 클라이언트 또는 라이브 DNS 확인자 테스트가 청구되지 않았습니다.