CAA: kes tohib väljastada sertifikaate?

Moodul 5: Muud kirjed · Lugemisaeg: 6 minutit

Õpieesmärk: Pärast seda tundi oskad lugeda CAA-kirjet ja tead, kuidas CAA-kirje võib SSL-sertifikaadi taotlemist blokeerida.

Põhimõisted: CAA, issue, issuewild, iodef, sertifitseerimisasutus (CA), CAA-kirje puudumine tähendab: kõigil on lubatud

Lukk võõralt

SSL-sertifikaat (tegelikult TLS-sertifikaat) tagab lukukese brauseris. Selle väljastab sertifitseerimisasutus, lühidalt CA: näiteks Let's Encrypt, Sectigo, DigiCert või Google Trust Services. Brauserid usaldavad kümneid CA-sid ja põhimõtteliselt tohib iga neist väljastada sertifikaadi sinu domeeni jaoks, kui taotleja näitab, et ta haldab seda domeeni.

CAA-kirjega (Certification Authority Authorization, RFC 8659) piirad seda. Sa määrad DNS-is, millised CA-d tohivad sinu domeenile sertifikaate väljastada. Iga CA on kohustatud seda kirjet kontrollima enne sertifikaadi väljastamist. Kui CA-d seal pole, peab ta keelduma.

See kaitseb sertifikaadi eest, mis väljastatakse sinu nime all hooletu või eksitatud CA kaudu. See on lisalukk, mitte kohustus.

Kuidas CAA-kirje välja näeb

example.com.  3600  IN  CAA  0 issue "letsencrypt.org"
example.com.  3600  IN  CAA  0 issue "sectigo.com"
example.com.  3600  IN  CAA  0 iodef "mailto:beveiliging@example.com"

CAA-kirjel on kolm osa:

Kolm silti, millega kokku puutud:

• issue: see CA tohib väljastada tavalisi sertifikaate (domeenile example.com, www.example.com ja nii edasi).
• issuewild: see CA tohib väljastada wildcard-sertifikaate (*.example.com). Kui issuewild puudub, kehtivad wildcardide jaoks issue-reeglid.
• iodef: kuhu CA saab saata teate, kui keegi taotleb sertifikaati, mida sinu CAA järgi ei tohi väljastada.

Sul võib olla mitu issue-reeglit: siis tohib iga nimetatud CA väljastada. Kui soovid hoopis, et keegi teatud liiki sertifikaati ei väljastaks, kasuta tühja väärtust: 0 issuewild ";" tähendab "wildcardeid ei tohi keegi väljastada".

CAA-kirje puudub: kõigil on lubatud

Kui sinu domeenil pole CAA-kirjet, tohib iga CA sertifikaadi väljastada. See on tavaline olukord enamiku domeenide puhul ja see pole viga. CAA on valik.

CA otsib CAA-kirjet sertifikaadi täpse nime juurest. Kui ta sealt midagi ei leia, vaatab ta ühe taseme kõrgemale, kuni domeenini. CAA-kirje domeenil example.com kehtib seega ka aadressile shop.example.com, välja arvatud juhul, kui shop.example.com-il on oma CAA-kirje.

Kuidas CAA võib sinu sertifikaadi blokeerida

See on põhjus, miks CAA kuulub algajate kursusesse: CAA-kirje võib põhjustada, et sinu tasuta sertifikaati enam ei uuendata, ja veateade ei ole alati selge.

Oletame: sinu veebisait töötas aastaid tasulise CA sertifikaadiga. Keegi lõi siis CAA-kirje:

example.com.  CAA  0 issue "sectigo.com"

Nüüd kolid majutusele, mis taotleb automaatselt Let's Encrypt sertifikaate. Let's Encrypt kontrollib CAA-d, näeb, et ainult Sectigo tohib, ja keeldub. Su sait ei saa sertifikaati ja külastajad näevad hoiatust.

Lahendus: lisa CA, mida sa nüüd kasutad, või eemalda vana CAA-kirje, kui sul seda enam vaja ei ole.

example.com.  CAA  0 issue "sectigo.com"
example.com.  CAA  0 issue "letsencrypt.org"

Kui kasutad teenust, mis ise sertifikaate korraldab, näiteks e-poe platvorm või CDN, uuri, millist CA-d see kasutab, ja lisa see juurde. Vastasel juhul blokeerid ka nende sertifikaadi.

Praktikas: nii näeb see välja paneelis

Näitena kasutame Minu WebOké DNS-vaadet, kus on CAA abiline kõige tuntumate CA-dega. DirectAdmin'is, Cloudflare'is ja enamikus teistes paneelides täidad samad kolm välja: lipp, silt ja väärtus.

1. Klõpsa nupul Add Record ja vali CAA.
2. Jäta nimi domeeni enda peale (@).
3. Jäta lipp väärtusele 0.
4. Vali silt issue.
5. Sisesta CA, näiteks letsencrypt.org.
6. Salvesta ja korda iga CA jaoks, kellel on lubatud väljastada.

Kokkuvõte

• CAA-kirjega määrad, millised sertifitseerimisasutused tohivad sinu domeenile sertifikaate väljastada.
• issue on tavaliste sertifikaatide jaoks, issuewild wildcardide jaoks, iodef teadete jaoks.
• CAA-kirje puudumine tähendab: iga CA tohib. See on normaalne.
• CAA-kirje domeenil kehtib ka alamdomeenidele, millel pole oma CAA-d.
• Unustatud CAA-kirje võib blokeerida uue või uuendatud sertifikaadi. Lisa CA, mida sa praegu kasutad.

Test

Ülesanne

Ülesanne Z5.2: CAA otsimine. Otsi üles domeeni wikipedia.org CAA-kirjed. Millised sertifitseerimisasutused tohivad issue-reeglite järgi sertifikaate väljastada? Sisesta need kõik.

Ülesanne O5.2: Ise seadista oma harjutustsoonis. Loo oma harjutustsoonis tsooni enda nimele (@) kaks CAA-kirjet:

• 0 issue ";"
• 0 iodef "mailto:abuse@dnspractice.eu"

Esimene rida tähendab: mitte keegi ei tohi väljastada sertifikaate selle nime jaoks. Harjutustsoonis on see täpselt õige: seal ei tööta ühtegi päris veebisaiti, seega ei peakski sinna sertifikaati tulema, ja nii ei saa keegi harjutustsooni kuritarvitada sertifikaadi hankimiseks. Oma pärisdomeenil ei tee sa seda kunagi, kui kasutad https-i; sinna paned CA-d, mida sa tegelikult kasutad, näiteks 0 issue "letsencrypt.org". Iodef-reegel viitab harjutustsoonis harjutuskeskkonna teavitusaadressile; oma pärisdomeenil sisestad oma aadressi.

Seejärel klõpsa nupul Kontrolli.

Rohkem lugemist

Need artiklid kirjeldavad samme WebOké paneelides; teistes paneelides toimib see sarnaselt.

• WebOké juhend 5.5: DNS-abimehed: MX, SPF, DMARC, CAA ja SRV
• DirectAdmin juhend 6.6: Let's Encrypt ei õnnestu: põhjused ja lahendused
• SSL-sertifikaadi aktiveerimine, uuendamine ja probleemide lahendamine