DANE è la variante DNS di Public Key Pinning (HPKP) HTTP?

Sebbene sia DANE / TLSA che HPKP siano in qualche modo correlati alla convalida del server utilizzando chiavi pubbliche o certificati, affrontano aspetti diversi della convalida. Ciò significa che DANE non può non considerare l'equivalente DNS di HPKP.

• HPKP si prende cura delle future connessioni al sito.
  Specifica quali chiavi saranno previste in futuro e rende quindi possibile per il client bloccare e proteggere contro l'uomo futuro nel attacchi intermedi che utilizzano certificati rilasciati da una CA attendibile ma compromessa (come nel caso di DigiNotar ). In questo modo aggiunge protezione aggiuntiva all'attuale PKI (con un negozio di fiducia in ciascun client) e non funziona senza di esso.
• DANE / TLSA si preoccupa della connessione corrente .
  Specifica quali chiavi / certificati devono essere utilizzati per la connessione corrente. Può quindi funzionare come sostituzione all'attuale PKI. In sostanza sposta la fiducia dall'attuale PKI in trust in DNSSec (che è essenzialmente una PKI diversa).

Dal punto di vista del proprietario del sito, HPKP consente di aggiungere solo ulteriori restrizioni per rafforzare il sistema PKI corrente. Il proprietario deve ancora ottenere un certificato da una CA attendibile. DANE / TLSA consente invece al proprietario di controllare completamente il processo di convalida (anziché solo un piccolo aspetto di esso) fintanto che il client si fida della PKI dietro DNSSec e il dominio sia protetto da DNSSec.

Per citare la RFC :

Abstract

Encrypted communication on the Internet often uses Transport Layer Security (TLS), which depends on third parties to certify the keys used. This document improves on that situation by enabling the administrators of domain names to specify the keys used in that domain's TLS servers. This requires matching improvements in TLS client software, but no change in TLS server software.

Section 1.1

...DNS-Based Authentication of Named Entities (DANE) offers the option to use the DNSSEC infrastructure to store and sign keys and certificates that are used by TLS. DANE is envisioned as a preferable basis for binding public keys to DNS names, because the entities that vouch for the binding of public key data to DNS names are the same entities responsible for managing the DNS names in question. While the resulting system still has residual security vulnerabilities, it restricts the scope of assertions that can be made by any entity, consistent with the naming scope imposed by the DNS hierarchy. As a result, DANE embodies the security "principle of least privilege" that is lacking in the current public CA model...

DANE e TLSA offrono un modo per fidarsi di un certificato per un dominio senza averlo firmato da una CA, questo è diverso da HPKP perché HPKP richiede ancora una CA per firmare il certificato, limita solo i certificati firmati.