Verifica dei record DANE/TLSA

Interroga più risolutori DNS pubblici per i record TLSA pubblicati dai server di posta di un dominio e verifica se sia configurata la validazione dei certificati tramite DANE.

Consigli per l'uso

  • I record TLSA non stanno sul nome di dominio ordinario, ma su un nome particolare del server di posta, nella forma «_25._tcp.{nome host}»: ecco perché cercandoli sul solo dominio non si trovano.
  • La mancata configurazione di DANE non è un'anomalia: si tratta di un ulteriore livello di protezione della cifratura della posta e molti server ancora non lo adottano.
  • DANE diventa un'informazione affidabile solo grazie alla catena di firme DNSSEC. Se trovate i record TLSA ma il dominio non adotta DNSSEC, verificate anche con il nostro strumento gemello per la validazione DNSSEC.
  • Se i server di posta sono più d'uno, la verifica riguarda fino a tre host, a partire da quello con la priorità più alta, cioè con il valore numerico più basso.
  • Se i risolutori danno esiti discordi, può darsi che i record TLSA siano stati aggiornati da poco e che le cache siano ancora disallineate: attendete e ripetete la verifica.

Domande frequenti

La mancata configurazione non è di per sé pericolosa: ancora oggi la grande maggioranza dei server di posta opera senza DANE. Come difesa contro gli attacchi che si frappongono alla negoziazione della cifratura, però, vale la pena valutarne l'adozione.

Entrambi perseguono lo stesso obiettivo, imporre la cifratura nel trasferimento della posta, ma poggiano su fondamenti di fiducia diversi: MTA-STS sulla catena di certificazione di un'autorità, DANE sulla catena di firme DNSSEC. Se avete già adottato DNSSEC conviene DANE, altrimenti è più realistico cominciare da MTA-STS. Si possono anche usare insieme.

Il primo indica il metodo di verifica, cioè se si richieda comunque la validazione presso un'autorità oppure si fissi direttamente il certificato; il secondo se a essere sottoposto a impronta sia l'intero certificato o la sola chiave pubblica; il terzo l'algoritmo di impronta. Le combinazioni coprono più modalità operative.

Per una protezione affidabile si raccomanda di configurarli su tutti i server che possano essere scelti come destinazione. Se sono presenti solo su alcuni, i messaggi indirizzati agli altri restano privi di protezione.

Lo strumento verifica soltanto un aspetto superficiale, cioè la presenza dei record TLSA. Poiché non controlla che i dati di associazione del certificato corrispondano a quello effettivamente presentato dal server, per una verifica rigorosa affiancate strumenti specialistici.
Tool-kun

A proposito — proteggere la cifratura della posta con i certificati invece che con la sola riservatezza

La cifratura nel protocollo di trasferimento della posta ha avuto a lungo un punto debole. Molti server adottano una cifratura opportunistica, che invia in chiaro se l'interlocutore non supporta la cifratura: un attaccante che si frapponga alla comunicazione può cancellare il comando di avvio della cifratura e intercettare il traffico senza che nessuno se ne accorga.

DANE, definito dalla RFC 6698, risponde al problema pubblicando nel DNS i record TLSA. Fissando in anticipo nel DNS il certificato del server di posta, o l'impronta della sua chiave pubblica, si può verificare che l'interlocutore presenti davvero il certificato previsto. La differenza sostanziale rispetto alla normale verifica dei certificati SSL/TLS è che non ci si affida alla catena di certificazione di un'autorità, ma unicamente alla catena di firme DNSSEC.

Il limite di DANE è che, per funzionare, il dominio deve essere firmato con DNSSEC. Su un dominio che non lo adotta non si può escludere la manomissione degli stessi record TLSA e la garanzia offerta da DANE perde ogni valore. La diffusione di DANE dipende quindi strettamente da quella di DNSSEC, e alcuni registri europei ne hanno anticipato l'adozione.

Leggi le curiosità collegate

Vedi tutte le curiosità

Chi consulta questo strumento guarda anche

Convalida degli indirizzi di posta elettronica

Uno strumento gratuito che verifica all'istante il formato di un indirizzo di posta elettronica, con un'approssimazione pratica della norma RFC 5322, e controlla anche se il dominio possa effettivamente ricevere messaggi...

Verifica dei record SPF, DKIM e DMARC

Basta inserire un dominio per cercare in tempo reale i suoi record SPF, DMARC e DKIM e valutare lo stato delle difese contro la contraffazione dei messaggi di posta.

Guida alla configurazione dei record DNS

Un riferimento che raccoglie tipi, scopi, esempi di sintassi e avvertenze dei record del sistema dei nomi necessari al recapito della posta e alla gestione di un sito: A, MX, TXT, SPF, DKIM, DMARC e gli altri.

Verifica della propagazione DNS

Interroga contemporaneamente più risolutori DNS pubblici, come quelli di Google e Cloudflare, per i record di un dominio e confronta i risultati, mostrando se una modifica ai server dei nomi si è già propagata nel mondo.

Verifica della validazione DNSSEC

Interroga più risolutori DNS pubblici, come quelli di Google e Cloudflare, per i record DNSKEY di un dominio e verifica che la catena di firme DNSSEC sia validata correttamente.

Verifica della politica MTA-STS

Legge il record TXT _mta-sts di un dominio e il relativo file di politica e verifica che l'imposizione della cifratura TLS nel trasferimento della posta sia configurata correttamente.