Dank voor jouw column! Inderdaad kan DANE (DNS-based Authentication of Named Entities) een goede bijdrage leveren aan betere beveiliging. Ook in Duitsland zijn hier veel verder mee (zie bijv. http://www.heise.de/thema/DANE). Ik heb wel een paar opmerkingen: Door Hans-Cees: En omdat de DNS-zone is ondertekend met DNSSEC worden valse certificaten onmogelijk."Onmogelijk" is een groot woord. Zodra abnamro.nl (voorbeeld) haar certificaat vernieuwt moet die wijziging natuurlijk ook op de een of andere wijze in DNS worden doorgevoerd. Ik heb geen idee wat daarbij komt kijken, maar ik kan mij ook niet voorstellen dat daar niets mis bij zou kunnen gaan. Ik kan mij ook andere problemen voorstellen (waar mogelijk al goede oplossingen voor bedacht zijn): als je t.g.v. een Diginotar-achtig incident snel certificaten moet vervangen, zou het (door caching niet altijd even snel te wijzigen) DNS systeem wel eens een blok aan je been kunnen zijn. Maar toegegeven, hier heb ik mij nog niet in verdiept. Door Hans-Cees: XS4ALL ...