CAA: kam ir atļauts izsniegt sertifikātus?

Modulis 5: Citi ieraksti · Lasīšanas laiks: 6 minūtes

Mācību mērķis: Pēc šīs nodarbības Jūs varēsiet nolasīt CAA ierakstu un zināsiet, kā CAA ieraksts var bloķēt SSL sertifikāta pieprasīšanu.

Pamatjēdzieni: CAA, issue, issuewild, iodef, sertifikātu autoritāte (CA), CAA ieraksta neesamība nozīmē: atļauts visiem

Svešinieka piedāvāta slēdzene

SSL sertifikāts (patiesībā TLS sertifikāts) nodrošina slēdzenītes ikonu pārlūkprogrammā. To izsniedz sertifikātu autoritāte, saīsināti CA: piemēram, Let's Encrypt, Sectigo, DigiCert vai Google Trust Services. Ir vairāki desmiti CA, kurām pārlūkprogrammas uzticas, un principā katra no tām drīkst izsniegt sertifikātu Jūsu domēnam, ja vien pieprasītājs pierāda, ka pārvalda domēnu.

Ar CAA ierakstu (Certification Authority Authorization, RFC 8659) Jūs to ierobežojat. DNS sistēmā Jūs norādāt, kurām CA ir atļauts izsniegt sertifikātus Jūsu domēnam. Katrai CA pirms sertifikāta izsniegšanas ir pienākums pārbaudīt šo ierakstu. Ja CA tajā nav minēta, tai jāatsaka izsniegšana.

Tas pasargā no situācijas, kad sertifikātu Jūsu vārdā izsniedz nolaidīga vai maldināta CA. Tā ir papildu slēdzene, nevis obligāta prasība.

Kā izskatās CAA ieraksts

example.com.  3600  IN  CAA  0 issue "letsencrypt.org"
example.com.  3600  IN  CAA  0 issue "sectigo.com"
example.com.  3600  IN  CAA  0 iodef "mailto:beveiliging@example.com"

CAA ierakstam ir trīs daļas:

Trīs tagi, kurus Jūs sastapsiet:

• issue: šai CA ir atļauts izsniegt parastus sertifikātus (domēnam example.com, www.example.com un tā tālāk).
• issuewild: šai CA ir atļauts izsniegt wildcard sertifikātus (*.example.com). Ja issuewild nav norādīts, wildcard sertifikātiem piemēro issue noteikumus.
• iodef: uz kurieni CA var nosūtīt paziņojumu, ja kāds pieprasa sertifikātu, kas saskaņā ar Jūsu CAA ierakstu nav atļauts.

Jūs varat norādīt vairākus issue noteikumus: tad katra minētā CA to drīkst darīt. Ja Jūs vēlaties, lai neviens neizsniegtu konkrēta veida sertifikātu, izmantojiet tukšu vērtību: 0 issuewild ";" nozīmē "nevienam nav atļauts izsniegt wildcard sertifikātus".

Nav CAA ieraksta: atļauts visiem

Ja Jūsu domēnam nav CAA ieraksta, jebkura CA drīkst izsniegt sertifikātu. Tā ir normāla situācija lielākajai daļai domēnu, un tas nav kļūdaini. CAA ir izvēle.

CA meklē CAA ierakstu pie sertifikāta precīzā nosaukuma. Ja tur nekas netiek atrasts, tā skatās vienu līmeni augstāk, līdz pašam domēnam. Tātad CAA ieraksts domēnā example.com attiecas arī uz shop.example.com, ja vien shop.example.com nav sava CAA ieraksta.

Kā CAA var bloķēt Jūsu sertifikātu

Tieši tāpēc CAA ir iekļauts iesācēju kursā: CAA ieraksts var izraisīt to, ka Jūsu bezmaksas sertifikāts vairs netiek atjaunots, un kļūdas paziņojums ne vienmēr ir skaidrs.

Pieņemsim, ka Jūsu vietne gadiem ilgi darbojās ar maksas CA izsniegtu sertifikātu. Kāds reiz izveidoja CAA ierakstu:

example.com.  CAA  0 issue "sectigo.com"

Tagad Jūs pārceļaties uz hostingu, kas automātiski pieprasa Let's Encrypt sertifikātus. Let's Encrypt pārbauda CAA, redz, ka atļauts tikai Sectigo, un atsaka izsniegšanu. Jūsu vietne nesaņem sertifikātu, un apmeklētāji redz brīdinājumu.

Risinājums: pievienojiet CA, ko tagad izmantojat, vai dzēsiet veco CAA ierakstu, ja tas vairs nav vajadzīgs.

example.com.  CAA  0 issue "sectigo.com"
example.com.  CAA  0 issue "letsencrypt.org"

Ja izmantojat pakalpojumu, kas pats nokārto sertifikātus, piemēram, interneta veikala platformu vai CDN, pajautājiet, kuru CA tas izmanto, un pievienojiet to sarakstam. Citādi Jūs bloķēsiet arī viņu sertifikātu.

Praksē: šādi tas izskatās panelī

Kā piemēru izmantosim Mans WebOké DNS ekrānu, kurā ir CAA palīgs ar pazīstamākajām CA. DirectAdmin, Cloudflare un lielākajā daļā citu paneļu Jūs aizpildāt tos pašus trīs laukus: karogu, tagu un vērtību.

1. Noklikšķiniet uz Add Record un izvēlieties CAA.
2. Atstājiet nosaukumu uz paša domēna (@).
3. Atstājiet karogu kā 0.
4. Izvēlieties tagu issue.
5. Ievadiet CA, piemēram, letsencrypt.org.
6. Saglabājiet un atkārtojiet katrai CA, kurai atļauts izsniegt sertifikātus.

Kopsavilkums

• Ar CAA ierakstu Jūs nosakāt, kurām sertifikātu autoritātēm ir atļauts izsniegt sertifikātus Jūsu domēnam.
• issue ir paredzēts parastiem sertifikātiem, issuewild wildcard sertifikātiem, iodef paziņojumiem.
• CAA ieraksta neesamība nozīmē: atļauts jebkurai CA. Tā ir normāla situācija.
• CAA ieraksts domēnā attiecas arī uz apakšdomēniem bez sava CAA ieraksta.
• Aizmirsts CAA ieraksts var bloķēt jauna vai atjaunota sertifikāta izsniegšanu. Pievienojiet CA, ko tagad izmantojat.

Tests

Uzdevums

Uzdevums Z5.2: CAA meklēšana. Uzmeklējiet domēna wikipedia.org CAA ierakstus. Kurām sertifikātu autoritātēm saskaņā ar issue noteikumiem ir atļauts izsniegt sertifikātus? Ievadiet tās visas.

Uzdevums O5.2: Pašrocīga iestatīšana vingrināšanās zonā. Jūsu vingrināšanās zonas nosaukumā (@) izveidojiet divus CAA ierakstus:

• 0 issue ";"
• 0 iodef "mailto:abuse@dnspractice.eu"

Pirmais noteikums nozīmē: nevienam nav atļauts izsniegt sertifikātus šim nosaukumam. Vingrināšanās zonā tas ir tieši pareizi: tur nedarbojas neviena īsta vietne, tāpēc arī sertifikātam tur nav jābūt, un tā neviens nevar ļaunprātīgi izmantot vingrināšanās zonu, lai iegūtu sertifikātu. Savam īstajam domēnam, ja izmantojat https, Jūs to nekad nedarāt; tur norādāt CA, kuras tiešām izmantojat, piemēram, 0 issue "letsencrypt.org". Iodef noteikums vingrināšanās zonā norāda uz vingrināšanās vides paziņojumu adresi; savam īstajam domēnam ievadiet savu adresi.

Pēc tam noklikšķiniet uz Pārbaudīt.

Lasīt tālāk

Šie raksti apraksta soļus WebOké paneļos; citos paneļos tie darbojas līdzīgi.

• WebOké rokasgrāmata 5.5: DNS palīgi: MX, SPF, DMARC, CAA un SRV
• DirectAdmin rokasgrāmata 6.6: Let's Encrypt neizdodas: cēloņi un risinājumi
• SSL sertifikāta aktivizēšana, atjaunošana un problēmu novēršana