CAA: kuka saa myöntää varmenteita?

Moduuli 5: Muut tietueet · Lukuaika: 6 minuuttia

Tavoite: Tämän oppitunnin jälkeen osaat lukea CAA-tietueen ja tiedät, miten CAA-tietue voi estää SSL-varmenteen hakemisen.

Keskeiset käsitteet: CAA, issue, issuewild, iodef, varmenteiden myöntäjä (CA), CAA-tietueen puuttuminen tarkoittaa: kuka tahansa saa

Vieraan antama lukko

SSL-varmenne (oikeastaan TLS-varmenne) saa aikaan selaimen lukkokuvakkeen. Sen myöntää varmenteiden myöntäjä, lyhyesti CA: esimerkiksi Let's Encrypt, Sectigo, DigiCert tai Google Trust Services. Selainten luottamia CA:ita on kymmeniä, ja periaatteessa jokainen niistä saa myöntää varmenteen verkkotunnuksellesi, kunhan hakija osoittaa hallitsevansa verkkotunnusta.

CAA-tietueella (Certification Authority Authorization, RFC 8659) rajoitat tätä. Määrität DNS:ssä, mitkä CA:t saavat myöntää varmenteita verkkotunnuksellesi. Jokaisen CA:n on tarkistettava tämä tietue ennen varmenteen myöntämistä. Jos CA ei ole listalla, sen on kieltäydyttävä.

Tämä suojaa tilanteelta, jossa huolimaton tai harhautettu CA myöntää varmenteen nimissäsi. Se on ylimääräinen lukko, ei pakollinen.

Miltä CAA-tietue näyttää

example.com.  3600  IN  CAA  0 issue "letsencrypt.org"
example.com.  3600  IN  CAA  0 issue "sectigo.com"
example.com.  3600  IN  CAA  0 iodef "mailto:beveiliging@example.com"

CAA-tietueessa on kolme osaa:

Kolme tunnistetta, joita näet:

• issue: tämä CA saa myöntää tavallisia varmenteita (esim. example.com, www.example.com ja niin edelleen).
• issuewild: tämä CA saa myöntää wildcard-varmenteita (*.example.com). Jos issuewild-tietuetta ei ole, wildcardeille pätevät issue-säännöt.
• iodef: mihin CA voi lähettää ilmoituksen, jos joku hakee varmennetta, jota CAA-tietueesi ei salli.

Voit lisätä useita issue-sääntöjä: tällöin jokainen mainittu CA saa myöntää varmenteita. Jos haluat, ettei kukaan myönnä tietynlaista varmennetta, käytä tyhjää arvoa: 0 issuewild ";" tarkoittaa "kukaan ei saa myöntää wildcard-varmenteita".

Ei CAA-tietuetta: kuka tahansa saa

Jos verkkotunnuksellasi ei ole CAA-tietuetta, mikä tahansa CA saa myöntää varmenteen. Tämä on tavallinen tilanne useimmille verkkotunnuksille, eikä se ole virhe. CAA on valinnainen.

CA etsii CAA-tietuetta varmenteen tarkalla nimellä. Jos sitä ei löydy, se katsoo tasoa ylemmäs, aina verkkotunnukseen asti. Verkkotunnuksen example.com CAA-tietue koskee siis myös osoitetta shop.example.com, ellei osoitteella shop.example.com ole omaa CAA-tietuetta.

Miten CAA voi estää varmenteesi

Tästä syystä CAA kuuluu aloittelijoiden kurssiin: CAA-tietue voi estää ilmaisen varmenteesi uusimisen, eikä virheilmoitus ole aina selkeä.

Oletetaan, että verkkosivustosi on vuosia käyttänyt maksullisen CA:n varmennetta. Joku on silloin luonut CAA-tietueen:

example.com.  CAA  0 issue "sectigo.com"

Nyt siirryt hostingiin, joka hakee automaattisesti Let's Encrypt varmenteita. Let's Encrypt tarkistaa CAA-tietueen, huomaa että vain Sectigo saa myöntää, ja kieltäytyy. Sivustosi ei saa varmennetta, ja kävijät näkevät varoituksen.

Ratkaisu: lisää CA, jota nyt käytät, tai poista vanha CAA-tietue, jos et enää tarvitse sitä.

example.com.  CAA  0 issue "sectigo.com"
example.com.  CAA  0 issue "letsencrypt.org"

Jos käytät palvelua, joka hoitaa varmenteet itse, kuten verkkokauppa-alustaa tai CDN:ää, kysy, mitä CA:ta se käyttää, ja lisää se listaan. Muuten estät myös sen varmenteen.

Käytännössä: näin se näkyy hallintapaneelissa

Esimerkkinä käytämme Oma WebOké DNS-näkymää, jossa on CAA-apuri tunnetuimmille CA:ille. DirectAdmin, Cloudflare ja useimmat muut paneelit toimivat samalla tavalla: täytät samat kolme kenttää eli lipun, tunnisteen ja arvon.

1. Klikkaa Add Record ja valitse CAA.
2. Jätä nimi verkkotunnukseen itseensä (@).
3. Jätä lippu arvoon 0.
4. Valitse tunniste issue.
5. Syötä CA, esimerkiksi letsencrypt.org.
6. Tallenna ja toista jokaiselle CA:lle, jonka haluat sallia.

Yhteenveto

• CAA-tietueella määrität, mitkä varmenteiden myöntäjät saavat myöntää varmenteita verkkotunnuksellesi.
• issue on tavallisia varmenteita varten, issuewild wildcardeja varten, iodef ilmoituksia varten.
• CAA-tietueen puuttuminen tarkoittaa: kuka tahansa CA saa myöntää. Se on normaalia.
• Verkkotunnuksen CAA-tietue koskee myös aliverkkotunnuksia, joilla ei ole omaa CAA-tietuetta.
• Unohtunut CAA-tietue voi estää uuden tai uusitun varmenteen. Lisää listaan CA, jota nyt käytät.

Tietovisa

Tehtävä

Tehtävä Z5.2: CAA-tietueiden etsiminen. Etsi verkkotunnuksen wikipedia.org CAA-tietueet. Mitkä varmenteiden myöntäjät saavat issue-sääntöjen mukaan myöntää varmenteita? Syötä ne kaikki.

Tehtävä O5.2: Aseta itse harjoitusvyöhykkeessäsi. Luo harjoitusvyöhykkeessäsi vyöhykkeen omaan nimeen (@) kaksi CAA-tietuetta:

• 0 issue ";"
• 0 iodef "mailto:abuse@dnspractice.eu"

Ensimmäinen rivi tarkoittaa: kukaan ei saa myöntää varmenteita tälle nimelle. Harjoitusvyöhykkeessä se on juuri oikein: siellä ei pyöri oikeaa verkkosivustoa, joten varmennetta ei kuulukaan myöntää, eikä kukaan voi näin väärinkäyttää harjoitusvyöhykettä varmenteen hankkimiseen. Oikealla verkkotunnuksellasi et koskaan tee näin, jos käytät https:ää; silloin lisäät ne CA:t, joita todella käytät, kuten 0 issue "letsencrypt.org". Iodef-sääntö osoittaa harjoitusvyöhykkeessä harjoitusympäristön ilmoitusosoitteeseen; oikealla verkkotunnuksellasi syötät oman osoitteesi.

Klikkaa sen jälkeen Tarkista.

Lue lisää

Nämä artikkelit kuvaavat vaiheet WebOké hallintapaneeleissa; muissa paneeleissa toiminta on samankaltaista.

• WebOké-käyttöopas 5.5: DNS-apulaiset: MX, SPF, DMARC, CAA ja SRV
• DirectAdmin-ohje 6.6: Let's Encrypt ei onnistu: syyt ja ratkaisut
• SSL-varmenteen aktivointi, uusiminen ja ongelmien ratkaiseminen