CAA: ki adhat ki tanúsítványokat?

5. modul: Egyéb rekordok · Olvasási idő: 6 perc

Tanulási cél: E lecke után képes lesz elolvasni egy CAA-rekordot, és tudni fogja, hogyan blokkolhatja egy CAA-rekord egy SSL-tanúsítvány igénylését.

Kulcsfogalmak: CAA, issue, issuewild, iodef, hitelesítésszolgáltató (CA), ha nincs CAA-rekord, az azt jelenti: bárki kiadhat

Egy idegen lakatja

Az SSL-tanúsítvány (valójában TLS-tanúsítvány) biztosítja a lakat ikont a böngészőben. Ezt egy hitelesítésszolgáltató adja ki, röviden CA: például a Let's Encrypt, a Sectigo, a DigiCert vagy a Google Trust Services. Több tucat olyan CA létezik, amelyben a böngészők megbíznak, és elvileg bármelyikük kiadhat tanúsítványt az Ön domainjéhez, amennyiben az igénylő bizonyítja, hogy ő kezeli a domaint.

Egy CAA-rekorddal (Certification Authority Authorization, RFC 8659) ezt korlátozhatja. A DNS-ben megadja, mely CA-k adhatnak ki tanúsítványt az Ön domainjéhez. Minden CA köteles ellenőrizni ezt a rekordot, mielőtt tanúsítványt adna ki. Ha a CA nincs felsorolva, akkor köteles elutasítani a kérelmet.

Ez védelmet nyújt az ellen, hogy egy hanyag vagy megtévesztett CA az Ön nevében adjon ki tanúsítványt. Ez egy plusz zár, nem kötelezettség.

Hogyan néz ki egy CAA-rekord

example.com.  3600  IN  CAA  0 issue "letsencrypt.org"
example.com.  3600  IN  CAA  0 issue "sectigo.com"
example.com.  3600  IN  CAA  0 iodef "mailto:beveiliging@example.com"

Egy CAA-rekord három részből áll:

A három előforduló címke:

• issue: ez a CA adhat ki hagyományos tanúsítványokat (az example.com, www.example.com stb. számára).
• issuewild: ez a CA adhat ki wildcard tanúsítványokat (*.example.com). Ha nincs issuewild bejegyzés, akkor a wildcardokra is az issue szabályok érvényesek.
• iodef: hova küldhet értesítést a CA, ha valaki olyan tanúsítványt igényel, amely az Ön CAA-ja szerint nem engedélyezett.

Több issue szabálya is lehet: ekkor minden felsorolt CA kiadhat tanúsítványt. Ha azt szeretné, hogy senki ne adhasson ki bizonyos típusú tanúsítványt, akkor üres értéket használ: a 0 issuewild ";" azt jelenti, hogy "senki sem adhat ki wildcard tanúsítványt".

Nincs CAA-rekord: bárki kiadhat

Ha az Ön domainjének nincs CAA-rekordja, akkor bármelyik CA kiadhat tanúsítványt. Ez a legtöbb domain esetében a normál helyzet, és ez nem hiba. A CAA egy választási lehetőség.

A CA a tanúsítvány pontos nevénél keresi meg a CAA-rekordot. Ha ott nem talál semmit, egy szinttel feljebb néz, egészen a domainig. Egy example.com-on lévő CAA-rekord tehát a shop.example.com-ra is érvényes, kivéve ha a shop.example.com-nak saját CAA-rekordja van.

Hogyan blokkolhatja a CAA a tanúsítványát

Ez az oka annak, hogy a CAA egy kezdőknek szóló tanfolyamban is helyet kap: egy CAA-rekord miatt előfordulhat, hogy az ingyenes tanúsítványa nem újul meg, és a hibaüzenet nem mindig egyértelmű.

Tegyük fel: a weboldala évekig egy fizetős CA tanúsítványával működött. Valaki akkor létrehozott egy CAA-rekordot:

example.com.  CAA  0 issue "sectigo.com"

Most átköltözik egy olyan tárhelyre, amely automatikusan Let's Encrypt tanúsítványokat igényel. A Let's Encrypt ellenőrzi a CAA-t, látja, hogy csak a Sectigo jogosult, és elutasítja a kérelmet. Az Ön oldala nem kap tanúsítványt, és a látogatók figyelmeztetést látnak.

A megoldás: adja hozzá azt a CA-t, amelyet most használ, vagy távolítsa el a régi CAA-rekordot, ha arra már nincs szüksége.

example.com.  CAA  0 issue "sectigo.com"
example.com.  CAA  0 issue "letsencrypt.org"

Ha olyan szolgáltatást használ, amely maga intézi a tanúsítványokat, mint egy webáruházplatform vagy egy CDN, akkor kérdezze meg, melyik CA-t használja, és azt adja hozzá. Ellenkező esetben az ő tanúsítványukat is blokkolja.

A gyakorlatban: így néz ki egy vezérlőpulton

Példaként a Fiókom DNS-képernyőjét használjuk, amely egy CAA-segédlettel rendelkezik a legismertebb CA-kkal. A DirectAdmin, a Cloudflare és a legtöbb más vezérlőpult esetében ugyanazt a három mezőt kell kitölteni: jelző (flag), címke (tag) és érték.

1. Kattintson az Új rekord felvétele gombra, és válassza a CAA típust.
2. Hagyja a nevet magán a domainen (@).
3. Hagyja a jelzőt 0 értéken.
4. Válassza az issue címkét.
5. Adja meg a CA-t, például letsencrypt.org.
6. Mentse el, és ismételje meg minden olyan CA esetében, amely kiadhat tanúsítványt.

Összefoglalás

• Egy CAA-rekorddal meghatározhatja, mely hitelesítésszolgáltatók adhatnak ki tanúsítványt az Ön domainjéhez.
• Az issue a hagyományos tanúsítványokra vonatkozik, az issuewild a wildcardokra, az iodef pedig az értesítésekre.
• Ha nincs CAA-rekord, az azt jelenti: bármelyik CA kiadhat tanúsítványt. Ez normális helyzet.
• A domainen lévő CAA-rekord az aldomainekre is érvényes, ha azoknak nincs saját CAA-juk.
• Egy elfelejtett CAA-rekord blokkolhat egy új vagy megújított tanúsítványt. Adja hozzá azt a CA-t, amelyet most használ.

Kvíz

Feladat

Z5.2 feladat: CAA keresése. Keresse meg a wikipedia.org CAA-rekordjait. Mely hitelesítésszolgáltatók adhatnak ki tanúsítványt az issue szabályok szerint? Sorolja fel mindet.

O5.2 feladat: Saját beállítás a gyakorlózónában. Hozzon létre a gyakorlózónájában, magának a zónának a nevén (@) két CAA-rekordot:

• 0 issue ";"
• 0 iodef "mailto:abuse@dnspractice.eu"

Az első sor azt jelenti: senki sem adhat ki tanúsítványt ehhez a névhez. A gyakorlózónában ez pontosan így helyes: ott nem fut valódi weboldal, tehát nem is kellene tanúsítványnak lennie, így senki sem tudja a gyakorlózónát visszaélésre felhasználni tanúsítvány megszerzésére. A valódi domainjénél ezt soha ne tegye meg, ha https-t használ; ott adja meg azokat a CA-kat, amelyeket valóban használ, például 0 issue "letsencrypt.org". Az iodef szabály a gyakorlózónában a gyakorlókörnyezet értesítési címére mutat; a valódi domainjénél a saját címét adja meg.

Ezután kattintson az Ellenőrzés gombra.

További olvasnivaló

Ezek a cikkek a WebOké vezérlőpultjain végrehajtandó lépéseket írják le; más vezérlőpultokon hasonlóan működnek.

• WebOké útmutató 5.5: DNS-segédeszközök: MX, SPF, DMARC, CAA és SRV
• DirectAdmin útmutató 6.6: Ha nem sikerül a Let's Encrypt: okok és megoldások
• SSL-tanúsítvány aktiválása, megújítása és a problémák megoldása