CAA: tko smije izdavati certifikate?

Modul 5: Ostali zapisi · Vrijeme čitanja: 6 minuta

Cilj lekcije: Nakon ove lekcije moći ćete pročitati CAA zapis i znat ćete kako CAA zapis može blokirati zahtjev za izdavanje SSL certifikata.

Ključni pojmovi: CAA, issue, issuewild, iodef, certifikacijsko tijelo (CA), nepostojanje CAA zapisa znači: svatko smije

Lokot od stranca

SSL certifikat (zapravo TLS certifikat) stvara lokotić u pregledniku. Izdaje ga certifikacijsko tijelo, skraćeno CA: na primjer Let's Encrypt, Sectigo, DigiCert ili Google Trust Services. Postoje desetci CA-ova kojima preglednici vjeruju i u načelu svaki od njih smije izdati certifikat za Vašu domenu, sve dok podnositelj zahtjeva dokaže da upravlja tom domenom.

Pomoću CAA zapisa (Certification Authority Authorization, RFC 8659) to možete ograničiti. U DNS-u postavite koji CA-ovi smiju izdavati certifikate za Vašu domenu. Svaki CA obvezan je provjeriti taj zapis prije izdavanja certifikata. Ako CA nije naveden, mora odbiti izdavanje.

To štiti od toga da certifikat na Vaše ime izda nemaran ili zavaran CA. To je dodatna brava, a ne obveza.

Kako izgleda CAA zapis

example.com.  3600  IN  CAA  0 issue "letsencrypt.org"
example.com.  3600  IN  CAA  0 issue "sectigo.com"
example.com.  3600  IN  CAA  0 iodef "mailto:beveiliging@example.com"

CAA zapis ima tri dijela:

Tri oznake (tagovi) na koje ćete naići:

• issue: ovaj CA smije izdavati obične certifikate (za example.com, www.example.com i slično).
• issuewild: ovaj CA smije izdavati wildcard certifikate (*.example.com). Ako issuewild nije naveden, za wildcardove vrijede pravila iz issue.
• iodef: gdje CA može poslati obavijest ako netko zatraži certifikat koji prema Vašem CAA zapisu nije dopušten.

Možete imati više issue pravila: tada smije svaki naveden CA. Ako želite da nitko ne izdaje određenu vrstu certifikata, koristite praznu vrijednost: 0 issuewild ";" znači "nitko ne smije izdavati wildcard certifikate".

Bez CAA zapisa: svatko smije

Ako Vaša domena nema CAA zapis, svaki CA smije izdati certifikat. To je uobičajena situacija za većinu domena i nije pogrešno. CAA je izbor.

CA traži CAA zapis na točnom nazivu certifikata. Ako ga tamo ne pronađe, gleda razinu više, sve do domene. CAA zapis na example.com vrijedi dakle i za shop.example.com, osim ako shop.example.com ima vlastiti CAA zapis.

Kako CAA može blokirati Vaš certifikat

Zato CAA pripada u tečaj za početnike: CAA zapis može uzrokovati da se Vaš besplatni certifikat više ne obnavlja, a poruka o pogrešci nije uvijek jasna.

Zamislite: Vaša web stranica godinama je radila s certifikatom plaćenog CA-a. Netko je tada izradio CAA zapis:

example.com.  CAA  0 issue "sectigo.com"

Sada se selite na hosting koji automatski zahtijeva Let's Encrypt certifikate. Let's Encrypt provjerava CAA, vidi da smije samo Sectigo i odbija zahtjev. Vaša stranica ne dobiva certifikat, a posjetitelji vide upozorenje.

Rješenje: dodajte CA koji sada koristite ili uklonite stari CAA zapis ako Vam više nije potreban.

example.com.  CAA  0 issue "sectigo.com"
example.com.  CAA  0 issue "letsencrypt.org"

Ako koristite uslugu koja sama upravlja certifikatima, poput platforme za web trgovinu ili CDN-a, raspitajte se koji CA ona koristi i dodajte ga. Inače ćete blokirati i njihov certifikat.

U praksi: ovako izgleda u panelu

Kao primjer koristimo DNS zaslon u sučelju Moj WebOké, koji ima CAA pomoćnik s najpoznatijim CA-ovima. U sučelju DirectAdmin, Cloudflare i većini drugih panela ispunjavate ista tri polja: zastavicu, oznaku i vrijednost.

1. Kliknite na Add Record i odaberite CAA.
2. Ostavite naziv na samoj domeni (@).
3. Ostavite zastavicu na 0.
4. Odaberite oznaku issue.
5. Unesite CA, na primjer letsencrypt.org.
6. Spremite i ponovite za svaki CA koji smije izdavati certifikate.

Sažetak

• Pomoću CAA zapisa određujete koja certifikacijska tijela smiju izdavati certifikate za Vašu domenu.
• issue je za obične certifikate, issuewild za wildcardove, iodef za obavijesti.
• Nepostojanje CAA zapisa znači: svaki CA smije izdavati. To je uobičajeno.
• CAA zapis na domeni vrijedi i za poddomene bez vlastitog CAA zapisa.
• Zaboravljeni CAA zapis može blokirati novi ili obnovljeni certifikat. Dodajte CA koji trenutačno koristite.

Kviz

Zadatak

Zadatak Z5.2: Pronalaženje CAA zapisa. Pronađite CAA zapise za wikipedia.org. Koja certifikacijska tijela prema issue pravilima smiju izdavati certifikate? Unesite ih sve.

Zadatak O5.2: Samostalno postavljanje u Vašoj zoni za vježbu. U svojoj zoni za vježbu na nazivu same zone (@) izradite dva CAA zapisa:

• 0 issue ";"
• 0 iodef "mailto:abuse@dnspractice.eu"

Prvo pravilo znači: nitko ne smije izdavati certifikate za ovaj naziv. U zoni za vježbu to je upravo ispravno: ondje ne radi prava web stranica, pa certifikat tu ne treba ni postojati, i tako nitko ne može zloupotrijebiti zonu za vježbu kako bi dobio certifikat. Na Vašoj stvarnoj domeni ovo nikada ne radite ako koristite https; tamo postavljate CA-ove koje doista koristite, poput 0 issue "letsencrypt.org". Iodef pravilo u zoni za vježbu upućuje na adresu za prijave zloupotrebe u okruženju za vježbu; na Vašoj stvarnoj domeni unesite vlastitu adresu.

Zatim kliknite na Provjeri.

Dodatno štivo

Ovi članci opisuju korake u sučeljima WebOké; u drugim panelima postupak je sličan.

• Priručnik za WebOké 5.5: DNS pomoćnici: MX, SPF, DMARC, CAA i SRV
• DirectAdmin priručnik 6.6: Let's Encrypt ne uspijeva: uzroci i rješenja
• Aktiviranje, obnavljanje i rješavanje problema sa SSL certifikatom