CAA: hvem har lov til å utstede sertifikater?

Modul 5: Andre poster · Lesetid: 6 minutter

Læringsmål: Etter denne leksjonen kan du lese en CAA-post og vet du hvordan en CAA-post kan blokkere bestilling av et SSL-sertifikat.

Nøkkelbegreper: CAA, issue, issuewild, iodef, sertifikatautoritet (CA), ingen CAA-post betyr: alle har lov

En lås fra en fremmed

Et SSL-sertifikat (egentlig et TLS-sertifikat) sørger for låsesymbolet i nettleseren. Det utstedes av en sertifikatautoritet, forkortet CA: for eksempel Let's Encrypt, Sectigo, DigiCert eller Google Trust Services. Det finnes dusinvis av CA-er som nettlesere stoler på, og i prinsippet kan hver og en av dem utstede et sertifikat for domenet ditt, så lenge den som bestiller kan vise at han administrerer domenet.

Med en CAA-post (Certification Authority Authorization, RFC 8659) begrenser du dette. Du setter opp i DNS-en hvilke CA-er som har lov til å utstede sertifikater for domenet ditt. Hver CA er forpliktet til å sjekke denne posten før den utsteder et sertifikat. Står ikke CA-en i posten, må den avslå.

Dette beskytter mot at et sertifikat utstedes i ditt navn via en slurvete eller lurt CA. Det er en ekstra lås, ikke en plikt.

Hvordan en CAA-post ser ut

example.com.  3600  IN  CAA  0 issue "letsencrypt.org"
example.com.  3600  IN  CAA  0 issue "sectigo.com"
example.com.  3600  IN  CAA  0 iodef "mailto:beveiliging@example.com"

En CAA-post har tre deler:

De tre tagene du vil støte på:

• issue: denne CA-en har lov til å utstede vanlige sertifikater (for example.com, www.example.com og så videre).
• issuewild: denne CA-en har lov til å utstede wildcard-sertifikater (*.example.com). Står det ikke noen issuewild, gjelder issue-reglene også for wildcards.
• iodef: hvor en CA kan sende en melding hvis noen bestiller et sertifikat som ikke er tillatt ifølge CAA-en din.

Du kan ha flere issue-regler: hver nevnte CA har da lov. Vil du derimot at ingen skal kunne utstede en bestemt type sertifikat, bruker du en tom verdi: 0 issuewild ";" betyr «ingen har lov til å utstede wildcards».

Ingen CAA-post: alle har lov

Har domenet ditt ingen CAA-post, har enhver CA lov til å utstede et sertifikat. Det er den vanlige situasjonen for de fleste domener, og det er ikke feil. CAA er et valg.

En CA slår opp CAA-posten på det nøyaktige navnet til sertifikatet. Finner den ingenting der, ser den et nivå høyere, helt opp til domenet. En CAA-post på example.com gjelder dermed også for shop.example.com, med mindre shop.example.com har sin egen CAA-post.

Hvordan CAA kan blokkere sertifikatet ditt

Dette er grunnen til at CAA hører hjemme i et nybegynnerkurs: en CAA-post kan føre til at det gratis sertifikatet ditt ikke lenger blir fornyet, og feilmeldingen er ikke alltid tydelig.

Si at nettstedet ditt gikk i flere år med et sertifikat fra en betalt CA. Noen opprettet da en CAA-post:

example.com.  CAA  0 issue "sectigo.com"

Nå flytter du til hosting som automatisk bestiller Let's Encrypt-sertifikater. Let's Encrypt sjekker CAA, ser at bare Sectigo har lov, og avslår. Nettstedet ditt får ikke noe sertifikat, og besøkende ser en advarsel.

Løsningen: legg til CA-en du bruker nå, eller fjern den gamle CAA-posten hvis du ikke trenger den lenger.

example.com.  CAA  0 issue "sectigo.com"
example.com.  CAA  0 issue "letsencrypt.org"

Bruker du en tjeneste som selv ordner sertifikater, som en nettbutikkplattform eller en CDN, spør da hvilken CA den bruker og legg den til. Ellers blokkerer du også deres sertifikat.

I praksis: slik ser det ut i et panel

Som eksempel bruker vi DNS-skjermen i Min side, som har en CAA-hjelper med de mest kjente CA-ene. I DirectAdmin, Cloudflare og de fleste andre panelene fyller du ut de samme tre feltene: flagg, tag og verdi.

1. Klikk på Add Record og velg CAA.
2. La navnet stå på selve domenet (@).
3. La flagget stå på 0.
4. Velg taggen issue.
5. Fyll inn CA-en, for eksempel letsencrypt.org.
6. Lagre og gjenta for hver CA som skal ha lov til å utstede.

Oppsummering

• Med en CAA-post bestemmer du hvilke sertifikatautoriteter som har lov til å utstede sertifikater for domenet ditt.
• issue er for vanlige sertifikater, issuewild for wildcards, iodef for meldinger.
• Ingen CAA-post betyr: enhver CA har lov. Det er normalt.
• En CAA-post på domenet gjelder også for underdomener uten egen CAA.
• En glemt CAA-post kan blokkere et nytt eller fornyet sertifikat. Legg til CA-en du bruker nå.

Quiz

Oppgave

Oppgave Z5.2: Slå opp CAA. Slå opp CAA-postene til wikipedia.org. Hvilke sertifikatautoriteter har lov til å utstede sertifikater ifølge issue-reglene? Fyll inn alle sammen.

Oppgave O5.2: Sett opp selv i øvingssonen din. Opprett i øvingssonen din på navnet til selve sonen (@) to CAA-poster:

• 0 issue ";"
• 0 iodef "mailto:abuse@dnspractice.eu"

Den første regelen betyr: ingen har lov til å utstede sertifikater for dette navnet. I øvingssonen er det akkurat riktig: det kjører ikke noe ekte nettsted der, så det skal heller ikke komme noe sertifikat, og slik kan ingen misbruke øvingssonen til å skaffe et sertifikat. På ditt ekte domene gjør du dette aldri hvis du bruker https; der setter du opp de CA-ene du faktisk bruker, som 0 issue "letsencrypt.org". Iodef-regelen peker i øvingssonen til meldeadressen til øvingsmiljøet; på ditt ekte domene fyller du inn din egen adresse.

Klikk deretter på Kontroller.

Les mer

Disse artiklene beskriver stegene i panelene til WebOké; i andre paneler fungerer de på lignende måte.

• WebOké-veiledning 5.5: DNS-hjelpere: MX, SPF, DMARC, CAA og SRV
• DirectAdmin-veiledning 6.6: Let's Encrypt fungerer ikke: årsaker og løsninger
• Aktivere, fornye og feilsøke SSL-sertifikat