<!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN" "http://www.w3.org/TR/REC-html40/loose.dtd">

<html lang="en">

<head>

<meta content="text/html; charset=utf-8" http-equiv="Content-Type">

<title>

GitLab

</title>

<style>img {

max-width: 100%; height: auto;

}

</style>

</head>

<body>

<div class="content">

<div>

<p dir="auto">Nikos Mavrogiannopoulos <a href="https://gitlab.com/nmav" data-user="105950" data-reference-type="user" data-container="body" data-placement="bottom" class="gfm gfm-project_member has-tooltip" title="Nikos Mavrogiannopoulos">@nmav</a> wrote</p>

<blockquote dir="auto">

<p>I do not think we have the X now, at least automatically.</p>

</blockquote>

<p dir="auto">That what I tried to convey in my message, sorry if it was not clear enough.</p>

<blockquote dir="auto">

<p>We only support dane/TLSA as a separate mechanism for certificate validation. Do you think we need some text clarifying that?</p>

</blockquote>

<p dir="auto">I personally <em>think</em> gnutls-cli dane support is not very useful as it is, i.e. this is not a documentation issue but an incomplete feature.</p>

<p dir="auto">Let's assume I want to use gnutls-cli to check whether I have set up DANE correctly. What do I need to do?</p>

<ol dir="auto">

<li>Use dig or danetool to view the TLSA record(s) and find whether DANE-TA/DANE-EE or PKIX-TA/PKIX-EE is used.</li>

<li>Choose a gnutls-cli invocation

<ul>

<li>a For DANE-TA and/or DANE-EE use gnutls-cli --no-ca-verification --dane</li>

<li>b For PKIX-TA and/or PKIX-EE do not set --no-ca-verification</li>

<li>c For mixed records as an additional step look at the certificate to decide whether to got to 2a or 2b.</li>

</ul>

</li>

</ol>

<p dir="auto">This is a little bit simplified because the correct choice (DANE- or PKIX-) is protocol dependent. (Opportunistic TLS like SMTP should not use PKIX-* and DANE-* does not make sense for https because browsers require a signature by trusted CA.) However I think we agree that it does not make sense to implement these arcane (possibly changing) policies in gnutls-cli.</p>

<p dir="auto">I do think though that the above 1/2abc should not be necessary, assuming the TLS-A choice is correct gnutls-cli should be able to verify trust , taking DANE correctly into account.</p>

</div>

</div>

<div class="footer" style="margin-top: 10px;">

<p style="font-size: small; color: #777;">

—

<br>

Reply to this email directly or <a href="https://gitlab.com/gnutls/gnutls/issues/557#note_105303856">view it on GitLab</a>.

<br>

You're receiving this email because of your account on gitlab.com.

If you'd like to receive fewer emails, you can

<a href="https://gitlab.com/sent_notifications/9c5df0237a7972d38297908f799907f8/unsubscribe">unsubscribe</a>

from this thread or

adjust your notification settings.

<script type="application/ld+json">{"@context":"http://schema.org","@type":"EmailMessage","action":{"@type":"ViewAction","name":"View Issue","url":"https://gitlab.com/gnutls/gnutls/issues/557#note_105303856"}}</script>

</p>

</div>

</body>

</html>