CAA: kam leidžiama išduoti sertifikatus?

5 modulis: Kiti įrašai · Skaitymo trukmė: 6 min.

Tikslas: Po šios pamokos galėsite perskaityti CAA įrašą ir žinosite, kaip CAA įrašas gali blokuoti SSL sertifikato užsakymą.

Pagrindinės sąvokos: CAA, issue, issuewild, iodef, sertifikavimo institucija (CA), joks CAA įrašas reiškia: leidžiama visiems

Svetimo spynelė

SSL sertifikatas (tiksliau, TLS sertifikatas) užtikrina spynelės ženkliuką naršyklėje. Jį išduoda sertifikavimo institucija, trumpiau CA: pavyzdžiui, Let's Encrypt, Sectigo, DigiCert arba Google Trust Services. Yra dešimtys CA, kuriomis naršyklės pasitiki, ir iš principo bet kuri iš jų gali išduoti sertifikatą Jūsų domenui, jei tik pareiškėjas įrodo, kad valdo domeną.

CAA įrašu (Certification Authority Authorization, RFC 8659) tai galite apriboti. DNS zonoje nurodote, kurioms CA leidžiama išduoti sertifikatus Jūsų domenui. Kiekviena CA privalo patikrinti šį įrašą prieš išduodama sertifikatą. Jei CA įraše nenurodyta, ji privalo atsisakyti išduoti sertifikatą.

Tai apsaugo nuo sertifikato, kurį Jūsų vardu išduoda neatsargi ar suklaidinta CA. Tai papildoma spynelė, o ne privaloma sąlyga.

Kaip atrodo CAA įrašas

example.com.  3600  IN  CAA  0 issue "letsencrypt.org"
example.com.  3600  IN  CAA  0 issue "sectigo.com"
example.com.  3600  IN  CAA  0 iodef "mailto:beveiliging@example.com"

CAA įrašą sudaro trys dalys:

Trys žymos, su kuriomis susidursite:

• issue: šiai CA leidžiama išduoti įprastus sertifikatus (domenui example.com, www.example.com ir panašiai).
• issuewild: šiai CA leidžiama išduoti wildcard sertifikatus (*.example.com). Jei issuewild nenurodyta, wildcard sertifikatams galioja issue taisyklės.
• iodef: kur CA gali siųsti pranešimą, jei kas nors užsako sertifikatą, kuris pagal Jūsų CAA įrašą neleidžiamas.

Galite turėti kelias issue taisykles: tuomet leidžiama kiekvienai nurodytai CA. Jei norite, kad niekas neišduotų tam tikro tipo sertifikato, naudokite tuščią reikšmę: 0 issuewild ";" reiškia "niekam neleidžiama išduoti wildcard sertifikatų".

Joks CAA įrašas: leidžiama visiems

Jei Jūsų domenas neturi CAA įrašo, bet kuri CA gali išduoti sertifikatą. Tai įprasta situacija daugumai domenų, ir tai nėra klaida. CAA yra pasirinkimas.

CA ieško CAA įrašo prie tikslaus sertifikato vardo. Jei ten nieko neranda, žiūri lygmeniu aukščiau, iki pat domeno. Taigi CAA įrašas prie example.com galioja ir shop.example.com, nebent shop.example.com turi savo CAA įrašą.

Kaip CAA gali blokuoti Jūsų sertifikatą

Štai kodėl CAA priklauso pradedančiųjų kursui: CAA įrašas gali sutrukdyti atnaujinti nemokamą sertifikatą, o klaidos pranešimas ne visada būna aiškus.

Tarkime: Jūsų svetainė metų metus veikė su mokamos CA sertifikatu. Kažkas tuomet sukūrė CAA įrašą:

example.com.  CAA  0 issue "sectigo.com"

Dabar persikeliate į talpinimo paslaugą, kuri automatiškai užsako Let's Encrypt sertifikatus. Let's Encrypt patikrina CAA, mato, kad leidžiama tik Sectigo, ir atsisako. Jūsų svetainė negauna sertifikato, o lankytojai mato įspėjimą.

Sprendimas: pridėkite CA, kurią dabar naudojate, arba pašalinkite seną CAA įrašą, jei jo nebereikia.

example.com.  CAA  0 issue "sectigo.com"
example.com.  CAA  0 issue "letsencrypt.org"

Jei naudojate paslaugą, kuri pati tvarko sertifikatus, pavyzdžiui, elektroninės parduotuvės platformą ar CDN, pasiteiraukite, kokią CA ji naudoja, ir ją pridėkite. Kitaip užblokuosite ir jų sertifikatą.

Praktikoje: kaip tai atrodo valdymo skydelyje

Kaip pavyzdį naudosime Mano WebOké DNS ekraną, kuriame yra CAA pagalbinė priemonė su žinomiausiomis CA. DirectAdmin, Cloudflare ir daugumoje kitų valdymo skydelių užpildote tuos pačius tris laukus: vėliavėlę, žymą ir reikšmę.

1. Spustelėkite Įtraukti įrašą ir pasirinkite CAA.
2. Palikite vardą ties pačiu domenu (@).
3. Palikite vėliavėlę 0.
4. Pasirinkite žymą issue.
5. Įveskite CA, pavyzdžiui, letsencrypt.org.
6. Išsaugokite ir pakartokite kiekvienai CA, kuriai leidžiama išduoti sertifikatus.

Santrauka

• CAA įrašu nustatote, kurioms sertifikavimo institucijoms leidžiama išduoti sertifikatus Jūsų domenui.
• issue skirtas įprastiems sertifikatams, issuewild wildcard sertifikatams, iodef pranešimams.
• Joks CAA įrašas reiškia: leidžiama bet kuriai CA. Tai normalu.
• CAA įrašas domene galioja ir subdomenams, kurie neturi savo CAA.
• Pamirštas CAA įrašas gali blokuoti naujo ar atnaujinamo sertifikato išdavimą. Pridėkite CA, kurią dabar naudojate.

Testas

Užduotis

Užduotis Z5.2: CAA paieška. Suraskite domeno wikipedia.org CAA įrašus. Kurioms sertifikavimo institucijoms pagal issue taisykles leidžiama išduoti sertifikatus? Įveskite jas visas.

Užduotis O5.2: Nustatykite patys savo pratybų zonoje. Savo pratybų zonoje prie pačios zonos vardo (@) sukurkite du CAA įrašus:

• 0 issue ";"
• 0 iodef "mailto:abuse@dnspractice.eu"

Pirmoji taisyklė reiškia: niekam neleidžiama išduoti sertifikatų šiam vardui. Pratybų zonoje tai yra kaip tik tinkama: ten neveikia jokia tikra svetainė, taigi ir sertifikato ten neturėtų atsirasti, taip niekas negali piktnaudžiauti pratybų zona, kad gautų sertifikatą. Savo tikrame domene taip niekada nedarykite, jei naudojate https; ten nurodykite CA, kurias iš tiesų naudojate, pavyzdžiui, 0 issue "letsencrypt.org". Iodef taisyklė pratybų zonoje nukreipia į pratybų aplinkos pranešimų adresą; savo tikrame domene įveskite savo paties adresą.

Tuomet spustelėkite Patikrinti.

Skaitykite daugiau

Šiuose straipsniuose aprašomi veiksmai WebOké valdymo skydeliuose; kituose skydeliuose veikimas panašus.

• WebOké vadovas 5.5: DNS pagalbininkai: MX, SPF, DMARC, CAA ir SRV
• DirectAdmin vadovas 6.6: Let's Encrypt nepavyksta: priežastys ir sprendimai
• SSL sertifikato aktyvinimas, atnaujinimas ir trikčių šalinimas