Let's DANE：实验性的DANE/TLSA浏览器及应用支持方法

Let's DANE：实验性的DANE/TLSA浏览器及应用支持方法

letsdane 🔒 Let's DANE is an experimental way to enable the use of DANE/TLSA in browsers and other apps using a lightweight proxy. 项目地址: https://gitcode.com/gh_mirrors/le/letsdane

项目介绍

🔒 Let's DANE 是一个实验性项目，旨在通过轻量级代理的方式，在不直接被浏览器支持的情况下，使用户能够利用 DANE/TLSA 记录来增强网络连接的安全性。DANE（DNS-Based Authentication of Named Entities）允许服务器证书的指纹存储在DNS中，从而验证TLS连接时所使用的证书是否匹配预期，增加了一层安全防护。由于当前大多数浏览器尚未内置对DANE的支持，本项目提供了一个解决方案，让开发者和普通用户可以在本地部署此代理以尝试这一技术。

Let's DANE 使用 miekg/dns 包作为其核心，并且若编译时集成 libunbound，它将进行 DNSSEC 验证，默认信任ICANN的2017 KSK密钥。此外，项目提供了详细的命令行选项和配置能力，确保灵活性和安全性。

项目快速启动

要迅速上手 Let's DANE，您需要执行以下步骤：

1. 克隆项目源码：

   git clone https://github.com/buffrr/letsdane.git
   

2. 构建并运行 Docker 容器（推荐方式，简化环境配置）：

   cd letsdane && docker build -t letsdane .
   

   然后运行容器：

   docker run --name letsdane -dp 127.0.0.1:8080:8080 \
              -v "$(pwd)"/dane:/root/letsdane \ 
              --restart unless-stopped letsdane -verbose
   

   这里 -dp 参数用于映射容器端口到主机端口，-v 参数用于挂载目录存放证书文件。

3. 浏览器设置：

   • 对于 Firefox，您需要将代理设置为 127.0.0.1:8080，
   • 并导入 Let's DANE 产生的证书到您的浏览器证书库中。可以通过命令行参数 letsdane -o myca.crt 导出公钥证书至方便的位置。

应用案例和最佳实践

浏览器增强安全

将 Let's DANE 配置为系统或浏览器的代理后，即使网站未直接支持 DANE，也能间接实现通过DNS验证网站证书的额外安全性检查，特别适合安全敏感环境下的日常浏览。

开发与测试环境

开发人员可以使用 Let's DANE 来模拟DANE环境，测试服务端与客户端在启用DNS认证的情况下的交互，确保应用兼容性和安全性。

典型生态项目

尽管 Let's DANE 本身是围绕 DANE/TLSA 的单一解决方案，但它的存在促进了对更广泛安全DNS技术的关注和应用。相关生态项目包括但不限于：

• danectl: 作为辅助工具，与 Certbot 和 Let's Encrypt 结合使用，便于管理和创建遵循 DANE 标准的TLS证书。
• DANE工具集合: 在 raf.org/danectl 和 www.huque.com/pages/tools.html 提供一系列工具，涵盖了从验证TLSA记录到管理证书的多个方面。

Let's DANE 不仅是一个项目，它是推动网络安全标准向前发展的一步，鼓励开发者和安全研究者探索如何在现有基础设施中加强数据传输的安全性。

letsdane 🔒 Let's DANE is an experimental way to enable the use of DANE/TLSA in browsers and other apps using a lightweight proxy. 项目地址: https://gitcode.com/gh_mirrors/le/letsdane