DNS-based Authentication of Named Entities (DANE) je v informatice název pro síťový protokol, který umožňuje certifikáty X.509 používané pro TLS propojit se systémem doménových jmen (DNS) za pomoci DNSSEC).[1] DANE slouží jako doplněk nebo alternativa PKI.
Česko v roce 2022 nařídilo u SMTP systémů kritické informační infrastruktury zavést DANE.[2]
Základem DANE jsou záznamy DNS typu TLSA obsahující certifikáty, případně jejich otisky. Jejich doménové jméno vychází ze jména zařízení a služby, pro jejíž ověření slouží. Aby mělo DANE smysl, musí být příslušné záznamy důvěryhodné. Proto je vyžadováno jejich ověření pomocí DNSSEC, bez něj jsou ignorovány.
Záznam TLSA může hrát při ověření stroje různé role. To je dáno obsahem jeho položky Použití Certifikátu (Certificate Usage), která může mít následující hodnoty:
DANE ve variantách PKIX-EE a PKIX-TA doplňuje PKI a omezuje možnosti pro podstrčení falešného certifikátu, zatímco varianty DANE-EE a DANE-TA nechávají PKI zcela stranou a umožňují ověřit certifikát jen na základě údajů z DNS. Další položky záznamu TLSA obsahují vlastní certifikační data (certifikát nebo jeho otisk) a informace o nich.
Klient podporující DANE při zahájení TLS komunikace získá z DNS záznamy typu TLSA pro jméno ve tvaru _port._transport.server. Například k ověření certifikátu HTTPS serveru cs.wikipedia.org, který používá port 443 transportního protokolu TCP, bude poptávat záznamy TLSA pro jméno _443._tcp.cs.wikipedia.org. Následně je využije pro ověření certifikátu, který od serveru získal protokolem TLS. Dopadne-li ověření úspěšně, bude certifikát považovat za autentický a pokračovat v komunikaci. V opačném případě je certifikát považován za podvržený a klient komunikaci ukončí.
V RFC 6698 je navrženo, jak autentizovat klienta TLS a server bez pomoci certifikační autority (CA). Aktualizace a návrh implementace je v RFC 7671. Specifikace pro protokol SMTP jsou v RFC 7672 a pro záznamy SRV v RFC 7673.