DNS - Záznam typu CAA

Informace o záznamu typu CAA (Certification Authority Authorization), který umožňuje specifikovat, jaké certifikační autority mohou vystavit certifikát pro doménový název.

Datum: 06.03.2017


Certification Authority Authorization (CAA) záznam umožňuje specifikovat, jaké certifikační autority (CA) mají povoleno vystavit certifikát pro doménu. Tento záznam také umožňuje definovat pravidlo, jakým způsobem a komu bude oznámena událost, kdy se někdo pokusí vystavit certifikát certifikační autoritou (CA), která není pomocí tohoto záznamu autorizována.

Pokud není pro doménu nastaven žádný CAA záznam, může pro doménu vystavit certifikát jakákoliv CA bez omezení. V opačném případě, pokud je záznam u domény nastaven, smí pro doménu vystavit certifikát pouze CA uvedená(é) v CAA záznamu.

CAA záznamy umožňují nastavit pravidlo pro celou doménu nebo pro jednotlivé subdomény. Pokud je CAA záznam nastaven pro celou doménu (např.: domena.tld), platí také pro všechny její subdomény (např.: subdom.domena.tld). Pokud ovšem není pro danou subdoménu nastaven vlastní CAA záznam s jiným pravidlem.

Ne každá CA podporuje ověřování pomocí CAA záznamů. Pokud vystavující CA nepodporuje CAA záznamy, tak prostě ignoruje pravidla uvedená v CAA záznamech a vystaví certifikát i v případě, že to není v souladu s pravidly uvedenými v CAA záznamech.

Formát CAA záznamu

CAA záznam se skládá z následujících částí:

  1. flag - kladné číslo s hodnotou 0-255
  2. tag - ASCII řetězec - definuje vlastnost CAA záznamu
  3. value - hodnota přiřazená tagu

Flag  - nastavujeme 0 (více v RFC6844)
Tag - podle RFC6844 jsou definovány 3 hodnoty:

  • issue - autorizuje definovanou CA pro vystavení jakéhokoliv typu certifikátu
  • issuewild - autorizuje definovanou CA pro vystavení pouze wildcard certifikátu
  • iodef - specifikuje URL, na kterou vystavující CA oznámí narušení pravidel definovaných CAA pro danou doménu

Value - hodnota CAA záznamu přiřazená k příslušným tagům.

Použití CAA záznamu

Jeden CAA záznam smí obsahovat pouze jedno tag-value pravidlo. Ke každému doménovému názvu je možné definovat několik CAA záznamů s různými pravidly.

Příklad 1

Pro doménu domena.tld chceme umožnit vystavení certifikátu pouze od CA Let's Encrypt.

domena.tld.  1800  IN  CAA  0 issue "letsencrypt.org"

Příklad 2

Pro doménu domena.tld chceme umožnit vystavení certifikátu od CA Let's Encrypt a od CA Comodo.

domena.tld.  1800  IN  CAA  0 issue "letsencrypt.org"
domena.tld.  1800  IN  CAA  0 issue "comodo.com"

Příklad 3

domena.tld.       1800  IN  CAA  0 issue "letsencrypt.org"
sub1.domena.tld.  1800  IN  CAA  0 issue "comodo.com"
sub2.domena.tld.  1800  IN  CAA  0 issue "letsencrypt.org"
sub2.domena.tld.  1800  IN  CAA  0 issue "comodo.com"

Výše uvedené záznamy budou mít následující výsledek:

  • pouze CA Let's Encrypt smí vystavit certifikát pro doménu domena.tld a všechny její subdomény kromě sub1.domena.tld
  • pouze CA Comodo smí vystavot certifikát pro subdoménu sub1.domena.tld
  • pro subdoménu sub2.domena.tld smí vystvait certifikát Let's Encrypt nebo Comodo

Příklad 4

domena.tld.  1800  IN  CAA  0 issue "letsencrypt.org"
domena.tld.  1800  IN  CAA  0 issuewild "comodo.com"
POZOR! V tomto případě vlastnost issuewild u druhého záznamu přepíše vlastnost issue u prvního. Protože Let's Encrypt nepodporuje wildcard certifikáty, smí v konečném důsledku pro doménu domena.tld vystavit certifikát pouze CA Comodo.

Příklad 5

Uvedení URL, na které je zaslána notifikace v případě vystavení certifikátu autoritou, která není pomocí CAA záznamu autorizována.

domena.tld.  1800  IN  CAA  0 issue "letsencrypt.org"
domena.tld.  1800  IN  CAA  0 iodef "mailto:notice@domena.tld"

Pokud se pokusí o vystavení certifikátu pro doménu domena.tld CA jiná, než Let's Encrypt, bude zasláno upozornění na tuto událost na email notice@domena.tld (pouze za předpokladu, že toto vystavující CA podporuje)

Diskuze k článku

K tomuto článku nebyl dosud vložen žádný diskuzní příspěvek, ale můžete tak učinit jako první.

Přihlášení zákazníka

Nemáte ještě zákaznický účet? Registrace

Copyright © WEDOS, 2017

Facebook RSS