CAA: kto może wydawać certyfikaty?

Moduł 5: Pozostałe rekordy · Czas czytania: 6 min

Cel lekcji: Po tej lekcji będą Państwo potrafili odczytać rekord CAA i wiedzieć, jak rekord CAA może zablokować wystawienie certyfikatu SSL.

Najważniejsze pojęcia: CAA, issue, issuewild, iodef, urząd certyfikacji (CA), brak rekordu CAA oznacza: może każdy

Kłódka od nieznajomego

Certyfikat SSL (właściwie certyfikat TLS) odpowiada za kłódkę w przeglądarce. Wydaje go urząd certyfikacji, w skrócie CA: na przykład Let's Encrypt, Sectigo, DigiCert lub Google Trust Services. Istnieją dziesiątki CA zaufanych przez przeglądarki i w zasadzie każdy z nich może wydać certyfikat dla Państwa domeny, o ile wnioskodawca wykaże, że zarządza tą domeną.

Za pomocą rekordu CAA (Certification Authority Authorization, RFC 8659) można to ograniczyć. W DNS określają Państwo, które CA mogą wydawać certyfikaty dla Państwa domeny. Każdy CA jest zobowiązany sprawdzić ten rekord przed wydaniem certyfikatu. Jeśli danego CA nie ma na liście, musi odmówić.

Chroni to przed wydaniem certyfikatu na Państwa nazwę przez niedbały lub wprowadzony w błąd CA. To dodatkowy zamek, a nie obowiązek.

Jak wygląda rekord CAA

example.com.  3600  IN  CAA  0 issue "letsencrypt.org"
example.com.  3600  IN  CAA  0 issue "sectigo.com"
example.com.  3600  IN  CAA  0 iodef "mailto:beveiliging@example.com"

Rekord CAA składa się z trzech części:

Trzy tagi, które Państwo spotkają:

• issue: ten CA może wydawać zwykłe certyfikaty (dla example.com, www.example.com itd.).
• issuewild: ten CA może wydawać certyfikaty wildcard (*.example.com). Jeśli nie ma issuewild, dla wildcardów obowiązują reguły issue.
• iodef: adres, pod który CA może wysłać zgłoszenie, jeśli ktoś wnioskuje o certyfikat niezgodnie z Państwa CAA.

Mogą Państwo mieć kilka reguł issue: wtedy każdy wymieniony CA może wydawać certyfikaty. Jeśli zależy Państwu na tym, by nikt nie wydawał danego rodzaju certyfikatu, używają Państwo pustej wartości: 0 issuewild ";" oznacza "nikt nie może wydawać wildcardów".

Brak rekordu CAA: może każdy

Jeśli domena nie ma rekordu CAA, każdy CA może wydać certyfikat. To normalna sytuacja dla większości domen i nie jest to błąd. CAA to opcja do wyboru.

CA szuka rekordu CAA pod dokładną nazwą certyfikatu. Jeśli nic tam nie znajdzie, sprawdza poziom wyżej, aż do samej domeny. Rekord CAA na example.com obowiązuje więc także dla shop.example.com, chyba że shop.example.com ma własny rekord CAA.

Jak CAA może zablokować Państwa certyfikat

To właśnie dlatego CAA znajduje się w kursie dla początkujących: rekord CAA może sprawić, że Państwa darmowy certyfikat przestanie być odnawiany, a komunikat o błędzie nie zawsze jest jasny.

Załóżmy, że Państwa strona internetowa od lat działała z certyfikatem płatnego CA. Ktoś wtedy utworzył rekord CAA:

example.com.  CAA  0 issue "sectigo.com"

Teraz przenoszą się Państwo na hosting, który automatycznie wnioskuje o certyfikaty Let's Encrypt. Let's Encrypt sprawdza CAA, widzi, że może tylko Sectigo, i odmawia. Państwa strona nie otrzymuje certyfikatu, a odwiedzający widzą ostrzeżenie.

Rozwiązanie: dodają Państwo CA, z którego obecnie korzystają, albo usuwają stary rekord CAA, jeśli nie jest już potrzebny.

example.com.  CAA  0 issue "sectigo.com"
example.com.  CAA  0 issue "letsencrypt.org"

Jeśli korzystają Państwo z usługi, która sama zarządza certyfikatami, na przykład platformy sklepu internetowego lub CDN, proszę sprawdzić, z jakiego CA ona korzysta, i dodać go do listy. W przeciwnym razie zablokują Państwo również jej certyfikat.

W praktyce: jak to wygląda w panelu

Jako przykład posłużymy się ekranem DNS w Moje WebOké, który ma pomocnik CAA z najbardziej znanymi CA. W DirectAdmin, Cloudflare i większości innych paneli wypełniają Państwo te same trzy pola: flagę, tag i wartość.

1. Proszę kliknąć Dodaj rekord i wybrać CAA.
2. Proszę zostawić nazwę na samej domenie (@).
3. Proszę zostawić flagę jako 0.
4. Proszę wybrać tag issue.
5. Proszę wpisać CA, na przykład letsencrypt.org.
6. Proszę zapisać i powtórzyć dla każdego CA, który ma mieć uprawnienia do wydawania certyfikatów.

Podsumowanie

• Za pomocą rekordu CAA określają Państwo, które urzędy certyfikacji mogą wydawać certyfikaty dla Państwa domeny.
• issue dotyczy zwykłych certyfikatów, issuewild wildcardów, a iodef zgłoszeń.
• Brak rekordu CAA oznacza: może każdy CA. To normalne.
• Rekord CAA na domenie obowiązuje także dla subdomen bez własnego CAA.
• Zapomniany rekord CAA może zablokować nowy lub odnawiany certyfikat. Proszę dodać CA, z którego Państwo obecnie korzystają.

Quiz

Zadanie

Zadanie Z5.2: Wyszukiwanie CAA. Proszę wyszukać rekordy CAA dla wikipedia.org. Które urzędy certyfikacji mogą wydawać certyfikaty zgodnie z regułami issue? Proszę wpisać je wszystkie.

Zadanie O5.2: Samodzielne ustawienie w strefie ćwiczeniowej. Proszę utworzyć w swojej strefie ćwiczeniowej na nazwie samej strefy (@) dwa rekordy CAA:

• 0 issue ";"
• 0 iodef "mailto:abuse@dnspractice.eu"

Pierwsza reguła oznacza: nikt nie może wydawać certyfikatów dla tej nazwy. W strefie ćwiczeniowej jest to dokładnie prawidłowe: nie działa tam żadna prawdziwa strona internetowa, więc nie powinien tam też powstawać żaden certyfikat, dzięki czemu nikt nie może wykorzystać strefy ćwiczeniowej do uzyskania certyfikatu. Przy swojej prawdziwej domenie nigdy nie robią Państwo tego, jeśli korzystają z https; tam ustawiają Państwo CA, z których faktycznie korzystają, na przykład 0 issue "letsencrypt.org". Reguła iodef w strefie ćwiczeniowej wskazuje na adres zgłoszeniowy środowiska ćwiczeniowego; przy swojej prawdziwej domenie wpisują Państwo własny adres.

Następnie proszę kliknąć Sprawdź.

Dalsza lektura

Poniższe artykuły opisują kroki w panelach WebOké; w innych panelach działają one w podobny sposób.

• Podręcznik WebOké 5.5: Pomocnicy DNS: MX, SPF, DMARC, CAA i SRV
• Instrukcja DirectAdmin 6.6: Let's Encrypt nie działa: przyczyny i rozwiązania
• Aktywacja, odnawianie i rozwiązywanie problemów z certyfikatem SSL