DANE

DANE 是基于 DNS 的命名实体身份验证的缩写。DANE 使用 TLSA 记录，将 TLS 服务与证书、公钥或信任锚关联起来。DNSSEC（域名系统安全扩展）验证 DNS 数据的真实性。支持 DANE 的客户端在 TLS 身份验证时强制执行关联要求。根据所选用途，DANE 可以约束公开受信任的证书颁发机构，也可以独立于公共 CA 信任验证服务。仅发布 TLSA 记录不能保护忽略 DANE 的客户端。运营者必须协调密钥变更与 TLSA 更新，并维持 DNSSEC 验证。