Qu’est-ce que DANE/TLSA?

Qu’est-ce que DANE?

DANE signifie «DNS-based Authentication of Named Entities» et est un protocole de sécurité qui vérifie l’authenticité des certificats TLS via le DNS. Il a été spécialement conçu pour protéger les connexions e-mail contre les attaques man-in-the-middle.

Que sont les enregistrements TLSA?

Les enregistrements TLSA sont des entrées DNS contenant l’empreinte d’un certificat TLS. Pour la sécurité des e-mails, ils sont placés sous le nom _25._tcp.serveurmail.domaine.ch (Port 25 = SMTP).

Un enregistrement TLSA typique ressemble à ceci:
3 0 1 a1b2c3d4e5f6...

Où:

• 3 = DANE-EE (End-Entity, vérifie directement le certificat du serveur)
• 0 = Certificat complet (le certificat entier est vérifié)
• 1 = Hash SHA-256 (l’empreinte est un hash SHA-256)

Conditions requises pour DANE

DANE ne fonctionne qu’en combinaison avec DNSSEC. Sans DNSSEC, un attaquant pourrait falsifier l’enregistrement TLSA lui-même, rendant DANE inutile. La chaîne est donc:

DNSSEC (signe la zone DNS) → Enregistrement TLSA (contient le hash du certificat) → DANE (vérification lors de l’envoi d’e-mail)

Pourquoi DANE est-il important?

Sans DANE, un attaquant peut:

• Dégrader ou supprimer le chiffrement SMTP
• Utiliser un certificat falsifié
• Lire les e-mails sans être détecté

Avec DANE, le chiffrement est imposé et le certificat est vérifié — l’attaquant n’a aucune chance.

DANE chez FireStorm

Chez FireStorm, DNSSEC et DANE/TLSA sont automatiquement activés et gérés par notre système MagicDANE. Vous n’avez à vous soucier de rien.

Vérifiez votre statut DANE

Ouvrir le DANE Checker