CAA: kdo sme izdati certifikate?

Modul 5: Drugi zapisi · Čas branja: 6 minut

Cilj lekcije: Po tej lekciji boste znali prebrati CAA zapis in vedeli, kako lahko CAA zapis blokira zahtevo za SSL certifikat.

Ključni pojmi: CAA, issue, issuewild, iodef, overitelj certifikatov (CA), brez CAA zapisa pomeni: sme kdorkoli

Ključavnica od neznanca

SSL certifikat (pravilneje TLS certifikat) poskrbi za ključavnico v brskalniku. Izda ga overitelj certifikatov, na kratko CA: na primer Let's Encrypt, Sectigo, DigiCert ali Google Trust Services. Obstajajo desetine overiteljev, ki jim brskalniki zaupajo, in načeloma lahko kateri koli izmed njih izda certifikat za Vašo domeno, dokler prosilec dokaže, da upravlja domeno.

S CAA zapisom (Certification Authority Authorization, RFC 8659) to omejite. V DNS določite, kateri overitelji smejo izdati certifikate za Vašo domeno. Vsak overitelj mora pred izdajo certifikata ta zapis preveriti. Če overitelja ni na seznamu, mora izdajo zavrniti.

To ščiti pred certifikatom, ki bi ga na Vaše ime izdal malomaren ali zaveden overitelj. Gre za dodatno ključavnico, ne za obveznost.

Kako je videti CAA zapis

example.com.  3600  IN  CAA  0 issue "letsencrypt.org"
example.com.  3600  IN  CAA  0 issue "sectigo.com"
example.com.  3600  IN  CAA  0 iodef "mailto:beveiliging@example.com"

CAA zapis ima tri dele:

Tri oznake, na katere boste naleteli:

• issue: ta overitelj sme izdajati navadne certifikate (za example.com, www.example.com itd.).
• issuewild: ta overitelj sme izdajati nadomestne (wildcard) certifikate (*.example.com). Če issuewild ni naveden, za nadomestne certifikate veljajo pravila iz issue.
• iodef: kam lahko overitelj pošlje obvestilo, če nekdo zahteva certifikat, ki ga Vaš CAA zapis ne dovoljuje.

Imate lahko več pravil issue: vsak naveden overitelj sme tedaj izdajati certifikate. Če želite, da nihče ne izda določene vrste certifikata, uporabite prazno vrednost: 0 issuewild ";" pomeni "nihče ne sme izdajati nadomestnih (wildcard) certifikatov".

Brez CAA zapisa: sme kdorkoli

Če Vaša domena nima CAA zapisa, sme certifikat izdati kateri koli overitelj. To je običajno stanje za večino domen in ni napaka. CAA je stvar izbire.

Overitelj poišče CAA zapis pri točnem imenu certifikata. Če tam ničesar ne najde, pogleda eno raven višje, vse do domene. CAA zapis na example.com torej velja tudi za shop.example.com, razen če ima shop.example.com svoj lasten CAA zapis.

Kako lahko CAA blokira Vaš certifikat

To je razlog, zakaj CAA sodi v začetniški tečaj: CAA zapis lahko povzroči, da se Vaš brezplačni certifikat ne obnovi več, pri čemer sporočilo o napaki ni vedno razumljivo.

Recimo, da je Vaša spletna stran leta delovala s certifikatom plačljivega overitelja. Nekdo je takrat ustvaril CAA zapis:

example.com.  CAA  0 issue "sectigo.com"

Zdaj preidete na gostovanje, ki samodejno zahteva certifikate Let's Encrypt. Let's Encrypt preveri CAA, ugotovi, da sme izdajati samo Sectigo, in zahtevo zavrne. Vaša stran ne dobi certifikata in obiskovalci vidijo opozorilo.

Rešitev: dodajte overitelja, ki ga zdaj uporabljate, ali odstranite stari CAA zapis, če ga ne potrebujete več.

example.com.  CAA  0 issue "sectigo.com"
example.com.  CAA  0 issue "letsencrypt.org"

Če uporabljate storitev, ki sama poskrbi za certifikate, kot je platforma za spletno trgovino ali CDN, preverite, kateri overitelj ga uporablja, in ga dodajte. V nasprotnem primeru boste blokirali tudi njihov certifikat.

V praksi: tako je videti v nadzorni plošči

Kot primer uporabimo DNS zaslon v Mojem WebOké, ki ima pomočnika za CAA z najbolj znanimi overitelji. V DirectAdmin, Cloudflare in večini drugih nadzornih plošč izpolnite enaka tri polja: zastavico, oznako in vrednost.

1. Kliknite Dodajanje zapisa in izberite CAA.
2. Pustite ime na sami domeni (@).
3. Pustite zastavico na 0.
4. Izberite oznako issue.
5. Vnesite overitelja, na primer letsencrypt.org.
6. Shranite in ponovite za vsakega overitelja, ki sme izdajati certifikate.

Povzetek

• S CAA zapisom določite, kateri overitelji certifikatov smejo izdati certifikate za Vašo domeno.
• issue velja za navadne certifikate, issuewild za nadomestne (wildcard), iodef za obvestila.
• Brez CAA zapisa sme izdajati kateri koli overitelj. To je povsem običajno.
• CAA zapis na domeni velja tudi za poddomene brez lastnega CAA zapisa.
• Pozabljen CAA zapis lahko blokira nov ali obnovljen certifikat. Dodajte overitelja, ki ga trenutno uporabljate.

Kviz

Naloga

Naloga Z5.2: Iskanje CAA. Poiščite CAA zapise za wikipedia.org. Kateri overitelji certifikatov smejo po pravilih issue izdajati certifikate? Vnesite jih vse.

Naloga O5.2: Samostojna nastavitev v Vaši vadbeni coni. V svoji vadbeni coni na imenu same cone (@) ustvarite dva CAA zapisa:

• 0 issue ";"
• 0 iodef "mailto:abuse@dnspractice.eu"

Prvo pravilo pomeni: nihče ne sme izdajati certifikatov za to ime. V vadbeni coni je to povsem pravilno: tam ne deluje prava spletna stran, zato tudi certifikat ni potreben, tako pa nihče ne more zlorabiti vadbene cone za pridobitev certifikata. Pri svoji pravi domeni tega nikoli ne storite, če uporabljate https; tam navedete overitelje, ki jih dejansko uporabljate, na primer 0 issue "letsencrypt.org". Pravilo iodef v vadbeni coni kaže na naslov za prijave vadbenega okolja; pri svoji pravi domeni vnesete svoj lasten naslov.

Nato kliknite Preveri.

Za nadaljnje branje

Ti članki opisujejo korake v nadzornih ploščah WebOké; v drugih nadzornih ploščah delujejo podobno.

• Priročnik WebOké 5.5: DNS-pomočniki: MX, SPF, DMARC, CAA in SRV
• Priročnik DirectAdmin 6.6: Let's Encrypt ne deluje: vzroki in rešitve
• Aktiviranje, podaljšanje in odpravljanje težav s SSL-certifikatom