4. Use of TLSA Records in TLS (TLS 中 TLSA 记录的使用)

待建立的 TLS session MUST 对应 TLSA query 中给出的具体 port number 和 transport name.

TLS client 查询 TLSA RR, 使用 DNSSEC 验证这些 record, 并根据 TLSA record 修改对 TLS server certificate 的验证处理. 如果 TLSA record 的 certificate usage 为 2, 对应 TLS server SHOULD 像发送 intermediate certificate 一样发送 TLSA 引用的 certificate.

4.1 Usable Certificate Associations (可用证书关联)

TLSA RRSet 是否可用 MUST 基于 DNSSEC validation state:

• secure: MUST 用作 TLS certificate association, 除非 local policy 禁止.
• bogus: MUST 不启动 TLS, 或在 TLS negotiation 已开始时中止连接.
• indeterminate 或 insecure: 不能用于 TLS, MUST 视为 unusable.

如果 TLS client 不理解某 association 的 certificate usage, selector 或 matching type, 该 association MUST 视为 unusable. 如果 comparison data malformed, 或使用的 cryptographic algorithm 被本地策略认为太弱, 也 MUST 视为 unusable.

如果没有 usable association, application 按普通 TLS 处理. 如果有一个或多个 usable association, client 尝试把它们与 server end-entity certificate 匹配. 如果没有任何 association 匹配, TLS client MUST abort handshake.

TLSA lookup 可在 TLS handshake 前执行, 也可在 handshake 期间执行, 由 client 决定.