domainsecuritycheck

← Record Studio

SMIMEA

SMIMEA-Records (RFC 8162) binden ein S/MIME-Zertifikat oder einen Public Key im DNS an eine E-Mail-Adresse — das S/MIME-Gegenstück zu TLSA/DANE. Ein empfangender Mail-Client kann Ihr Zertifikat so direkt aus DNSSEC-signiertem DNS finden und prüfen. Fügen Sie Ihr S/MIME-Zertifikat ein; der Generator berechnet den Record lokal in Ihrem Browser.

DNSSEC ist Voraussetzung. Wie DANE ist SMIMEA nur in einer DNSSEC-signierten Zone vertrauenswürdig: RFC 8162 §6 verlangt, dass „die DNS-Antwort die DNSSEC-Validierung bestehen MUSS; erreicht die DNSSEC-Validierung einen anderen Zustand als ‚Secure‘ …, MUSS sie als fehlgeschlagen behandelt werden“.
Experimentell. RFC 8162 ist ein Experimental-RFC — nach RFC 2026 steht er damit außerhalb des Standards-Track. Einen Record zu veröffentlichen schadet nicht, aber verlassen Sie sich noch nicht darauf, dass jeder Empfänger ihn auswertet. S/MIME selbst ist inzwischen in RFC 8551 (S/MIME 4.0) spezifiziert.
Datenschutz. Der Record-Name enthält einen SHA-256-Hash des local-part der Adresse — ein veröffentlichter SMIMEA-Record verrät also, dass die Adresse existiert, und lässt sich bei gängigen local-parts per Brute Force ermitteln. Signieren Sie die Zone mit NSEC3 statt NSEC: RFC 8162 §9.2 hält fest, dass NSEC-signierte Zonen „anfällig für Zone-Walking“ sind und Zonen mit NSEC3 „nach einem Zone-Walk deutlich schwerer per Brute-Force auszuwerten“ sind. NSEC3 verbirgt die Records nicht — es erschwert das Zurückrechnen der enumerierten Hashes auf Adressen. Der Domain-Teil geht bewusst nicht in den Hash ein, eine Rainbow-Table wirkt daher über Domains hinweg (§9.2). Der Owner-Name ist <hash>._smimecert.<domain>, wobei der Hash der SHA-256 des kanonisierten local-part ist, auf 28 Oktette gekürzt; die Groß-/Kleinschreibung des local-part bleibt erhalten.

Liest einen bereits für diese Adresse veröffentlichten SMIMEA-Record (der local-part wird zuvor im Browser gehasht). Es wird kein Zertifikat abgerufen — S/MIME-Zertifikate werden nicht per TLS-Handshake ausgeliefert.

Die vollständige Adresse. Ihr local-part (links vom @) wird zum Record-Namen gehasht; RFC 8162 §3 sieht keine Fallabbildung vor, und §4 verbietet Absendern, selbst eine vorzunehmen („sendende MUAs und MTAs … DÜRFEN KEINERLEI Abbildungsregeln auf die E-Mail-Adresse anwenden“). Der Record wird deshalb nur für exakt die eingegebene Schreibweise gefunden — John.Smith@…, john.smith@… und johnsmith@… ergeben drei verschiedene Owner-Namen, und §4 hält fest, dass „manche heutigen Implementierungen zumindest US-ASCII-local-parts kleinschreiben“. Behandelt Ihr Mailsystem Varianten als gleichwertig (Groß-/Kleinschreibung, Punkte, +ext), überlässt RFC 8162 §4 es Ihnen, je Variante einen Record zu veröffentlichen; die durchgehend kleingeschriebene Form zusätzlich zu veröffentlichen ist die billigste Absicherung.

Fügen Sie Ihr S/MIME-(E-Mail-)Zertifikat ein. Für eine Trust-Anchor-Usage (DANE-TA 2 / PKIX-TA 0) zusätzlich das Aussteller-Zertifikat als zweiten Block einfügen — dann wird der Aussteller gepinnt.

Gleiche Registry wie TLSA (RFC 6698). DANE (2/3) macht den DNSSEC-signierten Record zum Trust-Anchor, sodass ein selbstsigniertes oder privat ausgestelltes Zertifikat funktioniert; PKIX (0/1) verlangt zusätzlich eine öffentliche CA-Kette. Zum Veröffentlichen des eigenen S/MIME-Zertifikats ist DANE-EE (3) die natürliche Wahl. Eine Regel erbt SMIMEA nicht von TLSA: Nach RFC 8162 §9 darf ein widerrufenes oder abgelaufenes S/MIME-Zertifikat „nicht verwendet werden, auch wenn die Nachricht dadurch im Klartext versendet wird“ — anders als bei DANE-EE (3) unter TLSA, wo RFC 7671 §5.1 Clients anweist, das Ablaufdatum zu ignorieren. Das Zertifikat vor dem Ablauf erneuern und den Record neu veröffentlichen.

Der Default 3 0 0 veröffentlicht Ihr gesamtes Zertifikat im DNS — genau das ist der Zweck der SMIMEA-Discovery: Ein Absender kann Ihr Zertifikat abrufen und Ihnen verschlüsselt schreiben, ohne es vorher zu besitzen. Ein Hash (z. B. 3 1 1) erlaubt nur, ein bereits vorhandenes Zertifikat zu verifizieren. Vollzertifikat-Records sind groß — stellen Sie sicher, dass Ihr DNS über TCP/EDNS antwortet.

Records werden in Ihrem Browser erzeugt; „Aktuellen Record laden“ lässt unseren Server das DNS Ihrer Domain abfragen. Record Studio · Ergebnis mit dem Domain-Sicherheitscheck prüfen