yhteenveto: Jos yhteydet postipalvelimeen on suojattu SSL/TLS-varmenteella, voit tehdä niistä kestävämpiä heikennyshyökkäyksiä ja välikätehyökkäyksiä vastaan ottamalla käyttöön DNS-pohjaisen nimettyjen kokonaisuuksien todennuksen (DANE). DANE suojaa myös verkkosivustojen väärentämiseltä, joka johtuu varmenteiden myöntäjien vaarantumisesta.

Tässä aiheessa opit vahvistamaan palvelimen yhteydet DANEa käyttäen: automaattisesti SSL It! -laajennuksella tai manuaalisesti. Huomaa, että tämä aihe ei ole tyhjentävä tietolähde DANEsta tai TLSA DNS -tietueista.

Plesk-palvelimella voit vahvistaa palvelimen yhteydet DANEa käyttäen seuraavilla tavoilla:

  • Automaattisesti SSL It! -laajennuksen avulla.

  • Manuaalisesti luomalla SSL/TLS-varmenteen julkisen avaimen tiiviste ja lisäämällä sitten TLSA DNS -tietue.

Kummallakin tavalla on omat etunsa ja haittapuolensa.

DANEn automaattinen käyttöönotto SSL It! -laajennuksella on helppoa ja vaatii vain muutaman napsautuksen. DANEn avulla voit kuitenkin vahvistaa vain yhden yhteystyypin: yksittäisen toimialueen postipalvelimen yhteyden. Lisäksi DANEa voi käyttää vain Let’s Encrypt -varmenteiden kanssa. Jos haluat käyttää DANEa muiden varmenteen myöntäjien SSL/TLS-varmenteiden kanssa, valitse manuaalinen käyttöönotto.

DANEn manuaalinen käyttöönotto on monivaiheinen toimenpide, joka vaatii aikaa ja vaivaa (vaikka annamme alla vaiheittaisen ohjeen). Etuna on, että voit vahvistaa yhteyksiä paitsi postipalvelimeen myös muihin SSL/TLS-varmenteilla suojattuihin yhteyksiin. Voit myös käyttää DANEa minkä tahansa varmenteen myöntäjän SSL/TLS-varmenteiden kanssa, ei pelkästään Let’s Encryptin.

Valitsemastasi tavasta riippumatta sinun on varmistettava, että palvelimesi ja/tai isännöidyt toimialueet täyttävät tietyt DANEn käyttöön tarvittavat vaatimukset.

(Automaattisesti) Sähköpostiyhteyksien vahvistaminen DANEa käyttäen

Ennen kuin voit vahvistaa yhteyden postipalvelimeen automaattisesti DANEa käyttäen, varmista, että palvelimellasi ja isännöidyillä toimialueillasi on seuraava määritys:

  • Plesk-palvelimelle:

  • Toimialueelle, jonka yhteyden postipalvelimeen haluat vahvistaa DANEa käyttäen:

    • Postipalvelu on käytössä.

    • DKIM on käytössä.

    • MX-tietue on olemassa ja se erottuu Plesk-palvelimen IP-osoitteeksi.

    • DNSSEC on käytössä.

Jos kaikki yllä olevat ehdot täyttyvät, voit vahvistaa yhteyden postipalvelimeen DANEa käyttäen SSL It! -laajennuksen avulla.

Sähköpostiyhteyden vahvistaminen DANEa käyttäen SSL It! -laajennuksella!

  1. Kirjaudu Pleskiin.

  2. Siirry kohtaan Verkkosivustot ja toimialueet ja etsi haluamasi toimialue.

  3. Napsauta SSL/TLS-varmenteet.

  4. Kohdassa ”Asenna Let’s Encryptin tarjoama maksuton perusvarmenne” napsauta Asenna.

  5. Pidä ”Suojaa toimialueen nimi” -valintaruutu valittuna.

  6. (Valinnainen) Valitse muita valintaruutuja riippuen aliverkkotunnuksista, jotka haluat suojata.

  7. Valitse ”Määritä varmenne sähköpostitoimialueelle” ja ”DANE-tuki” -valintaruudut.

    image ssl it 1

  8. Valitse Hanki ilmaiseksi.

    image ssl it 2

  9. Odota hetki, kunnes DANEa varten luodut TLSA-tietueet ovat levinneet DNS-palvelimeen, ja napsauta sitten Asenna.

SSL It! on suojannut toimialueesi Let’s Encrypt -varmenteella ja vahvistanut myös toimialueen yhteyden postipalvelimeen DANEa käyttäen.

DANE-varmenteiden automaattinen uusiminen

SSL It! uusii automaattisesti ilmaiset SSL/TLS-varmenteet Let’s Encryptistä 30 päivää ennen niiden vanhenemista. Jos varmenne on myönnetty DANE-tuella, SSL It! määrittää sen myös uudelle varmenteelle.

Kun uusi varmenne on valmis asennettavaksi toimialueelle, SSL It! luo vastaavan joukon TLSA-tietueita ja asettaa ajastimen 24 tunniksi (se on oletusarvo). Ajastimen umpeutumisen jälkeen SSL It! -tehtävän ”Pidä verkkosivustot suojattuina” seuraava suoritus asentaa uuden varmenteen ja poistaa vanhat TLSA-tietueet. Määritetyistä asetuksista riippuen Plesk lähettää myös sähköposti-ilmoituksen varmenteen uusimisesta.

Halutessasi voit muuttaa oletusarvoisen 24 tunnin välin TLSA-tietueiden luomisen ja uuden varmenteen asennuksen välillä lisäämällä panel.ini-tiedostoon seuraavanlaisia rivejä:

[ext-sslit]
dane-confirmation-interval-in-hours = <the number of hours>

Esimerkiksi:

[ext-sslit]
dane-confirmation-interval-in-hours = 12

DANE-tuen poistaminen käytöstä SSL It! -laajennuksessa!

Oletusarvoisesti DANE-tuki on käytössä SSL It! -laajennuksessa, jos Plesk-palvelin ja isännöidyt toimialueet täyttävät DANEn vaatimat määritysehdot. Tämä tarkoittaa, että sinä ja asiakkaasi voitte nähdä ja valita ”DANE-tuki” -valintaruudun kohdassa ”Määritä varmenne sähköpostitoimialueelle” suojatessanne toimialuetta Let’s Encrypt -varmenteella.

Asiakkaidesi suojaamiseksi voit poistaa DANE-tuen käytöstä SSL It! -laajennuksessa piilottamalla vastaavan valintaruudun. Lisää siihen tarkoitukseen seuraavat rivit panel.ini-tiedostoon:

[ext-sslit]
daneEnabled = false

(Manuaalisesti) Palvelinyhteyksien vahvistaminen DANEa käyttäen

Voit vahvistaa yhteyksiä minkä tahansa sovellusprotokollan kautta, joka on jo suojattu SSL/TLS-varmenteella, käyttämällä vastaavaa kuljetusprotokollan ja portin yhdistelmää (esimerkiksi ”TCP/25” SMTP:lle, ”TCP/443” HTTPS:lle ja niin edelleen).

Yhteyksien vahvistaminen tietyn sovellusprotokollan kautta on kaksivaiheinen prosessi:

  • Ensin sinun on luotava SSL/TLS-varmenteen julkisen avaimen tiiviste. Vaikka voit käyttää myös tiivistämätöntä julkista avainta tai koko varmenteen tiivistettä, tässä esimerkissä käytämme julkisen avaimen tiivistettä.

  • Sitten sinun on lisättävä TLSA DNS -tietue, jossa määritetään useita tarvittavia parametreja, tiiviste mukaan lukien.

Sinun on toistettava yllä olevat vaiheet jokaiselle sovellusprotokollalle, jonka haluat vahvistaa.

Alla olevassa esimerkissä annamme vaiheet SMTP-yhteyksien vahvistamiseksi postipalvelimeen yksittäiselle toimialueelle. Voit käyttää niitä viitteenä muiden yhteyksien vahvistamiseen tarvittaessa.

Edellytykset

Ennen kuin voit vahvistaa SMTP-yhteydet DANEa käyttäen yksittäiselle toimialueelle, sinun on tehtävä seuraavat:

SMTP-palvelinyhteyksien suojaaminen

Muista: Alla olevassa esimerkissä käytämme SSL/TLS-varmenteen julkisen avaimen SHA-256-tiivistettä emmekä koko varmennetta. Näin TLSA-tietuetta ei tarvitse päivittää varmenteen uusimisen yhteydessä, ellei julkinen avain muutu.

Varmenteen julkisen avaimen tiivisteen luominen

  1. Kirjaudu Pleskiin.

  2. Siirry kohtaan Verkkosivustot ja toimialueet ja etsi haluamasi toimialue.

  3. Napsauta SSL/TLS-varmenteet.

  4. Etsi postipalvelinta suojaava varmenne (se, jonka merkintä on ”Suojaa sähköpostin”) ja napsauta sitten lataa-kuvaketta ladataksesi varmenteen *.pem-tiedostona.

  5. Sijoita *.pem-tiedosto Linux-koneelle ja suorita sitten seuraava komento (muista vaihtaa työhakemisto etukäteen sen hakemiston nimeen, jossa tiedosto on, ja korvata ”certificate.pem” todellisella tiedoston nimellä):

    openssl x509 -in certificate.pem -pubkey -noout | openssl rsa -pubin -outform der | sha256sum | awk '{print $1}'

Tuloste (esimerkiksi 499e42e36d7b04529725a1f8036e0f7cf1030b4e25a3fa1988f2572e1ce70d28) on SHA-256-tiiviste, jota käytät TLSA DNS -tietuetta luodessasi.

TLSA DNS -tietueen lisääminen

  1. Kirjaudu Pleskiin.

  2. Siirry kohtaan Verkkosivustot ja toimialueet ja etsi haluamasi toimialue.

  3. Siirry Isännöinti ja DNS -välilehdelle ja napsauta DNS.

  4. Napsauta Lisää tietue.

  5. Valitse ”TLSA” Tietuetyyppi-pudotusvalikosta.

  6. (Valinnainen) Määritä tietueelle TTL. Jos et ole varma optimaalisesta TTL-arvosta, jätä ”TTL”-kenttä tyhjäksi. Tässä tapauksessa käytetään oletus-TTL-arvoa.

  7. Määritä portti ”25”. Älä lisää alaviivaa, se lisätään automaattisesti.

  8. Määritä protokolla ”tcp”. Älä lisää alaviivaa, se lisätään automaattisesti.

  9. Kirjoita ”mail” kenttään ”Toimialueen nimi”.

  10. Valitse ”3, DANE-EE” Käyttö-pudotusvalikosta.

  11. Valitse ”1, SPKI” Valitsin-pudotusvalikosta.

  12. Valitse ”1, SHA-256” Vastaavuustyyppi-pudotusvalikosta.

  13. Liitä aiemmin luomasi varmenteen julkisen avaimen tiiviste kenttään ”Varmenteen liitäntätiedot”.

  14. Napsauta OK ja napsauta sitten Päivitä ottaaksesi muutokset käyttöön DNS-vyöhykkeessä.

TLSA DNS -tietue lisätään ja muutokset DNS-vyöhykkeeseen otetaan käyttöön. Kun DNS-muutokset ovat levinneet (tämä kestää yleensä noin 24 tuntia), DANE tulee aktiiviseksi toimialueen SMTP-yhteyksille.