| インターネットセキュリティ プロトコル |
|---|
| キーマネジメント |
| アプリケーション層 |
| DNS |
| インターネット層 |
DNS-based Authentication of Named Entities（DANE、名前付きエンティティの DNS ベースの認証）は、一般的に Transport Layer Security（TLS）に使用されるX.509証明書を、DNS Security Extensions（DNSSEC）を使用して、DNS 名にバインドすることを可能にする通信プロトコルである[1]。
認証局（CA）を持たないTLSクライアント・サーバーのエンティティを認証するための方法として、RFC6698で提案された。
現在、TLS/SSL 暗号化は認証局（CA）が発行した証明書に基づいている。過去数年間に、多くのCAプロバイダが深刻なセキュリティ侵害（security breaches）を受け、ドメインを所有者以外が有名なドメインの証明書を発行できるようになってしまう問題が起きた。いずれかのCAがセキュリティ侵害を受けただけで、任意のドメイン名の証明書を発行できてしまうため、多数のCAを信頼することはセキュリティ上の問題となりうる。DANEを使用すると、ドメイン名の管理者は、そのドメインのTLSクライアントまたはサーバーで使用されているキーをDNSに格納できる。DANEのセキュリティモデルを機能させるためには、DNSレコードをDNSSECで署名する必要がある。
さらにDANEでは、ドメインの所有者が、特定のリソースのために証明書の発行を許可するCAを指定することができるため、CAが任意のドメインの証明書を発行することができてしまう問題を解決することができる。