DANE 有 4 种操作模式，索引为 0-3，其中模式 3Domain issued certificate允许自签名证书。此模式可以以可信的方式使用吗？如果可以，是否意味着传统证书颁发机构及其信任链可以过时/冗余？但是仍然依赖于 DNSSEC 中的信任链。
我的理解是，只要域名所有者可以向其域名注册商/域名托管服务证明公钥的所有权，在这种情况下，域名注册商/域名托管服务将允许域名所有者在模式 3 中启用 DANE，允许使用例如域名注册商刚刚由域名所有者验证所有权的公钥的哈希值来修改 TLSA RR。
但是，这假设域名注册商/域名托管服务对 DNS 资源记录（在本例中特别是 TLSA RR）进行真实性/有效性检查，其方式与 CA 验证公钥所有权的方式大致相同，情况确实如此吗？或者域名所有者是否可以指定任何数据来填充他们的 TLSA 记录，而不管所有权如何？
答案1
DANE 可与自签名证书一起使用，DNSSEC 提供基于另一个层次结构的 PKI。目前，SMTP 是 DANETLSA记录最实用的用例：由于电子邮件不关心基于 CA 的 PKI 以实现向后兼容性，因此 DANE 是声明 TLS 加密强制执行的解决方案，并且还定义要接受哪些证书（无论是否由 CA 签名）。
但是，出于多种原因，最好使用有效的 CA 签名证书：
- 采用两个独立的PKI进行备份。
- 对于 IMAP 和提交。某些电子邮件客户端（即 Android）仅有要求主机名的有效证书或全部接受的选项，但没有为自签名证书添加例外。
- 使用 Let's Encrypt 是免费的，所以不再需要担心成本问题。
第二段有一个误解：注册商不验证任何这些。您可以自由地在 DNS 上发布指纹，SMTP 客户端（启用 DANE 的邮件服务器）将执行验证。