foggyfoxx 30 авг 2017 в 12:20

DNS-запись CAA. Зачем нужна и как использовать?

3 мин

46K

ХостингАдминистрирование доменных имен*Системное администрирование*DNS*DevOps*

Туториал

+18

Комментарии 27

pixelcube 30 авг 2017 в 12:25

Это работает только с DNSSEC?

foggyfoxx 30 авг 2017 в 12:29

Можно использовать и без DNSSEC. В RFC 6844 он носит рекомендательный характер.

cooladmin 30 авг 2017 в 12:32

Эта запись нужна центру сертификации для проверки того, что он (центр сертификатов) имеет права выпустить сертификат. К DNSSEC, это, кажется, вообще не имеет никакого отношения.

Nappo 30 авг 2017 в 12:36

Как будут реагировать браузеры если у сайта нет САА?

cooladmin 30 авг 2017 в 12:37

На момент моих изысканий на этот счёт, я не нашёл какой либо причины браузеру проверять эти записи. Ну то есть, эта запись нужна только УЦ и только в МОМЕНТ выпуска серта.

Браузер может её проверить, но в RFC не говорится, что ему делать в том случае если запись не нашлась, а серт валидный.

foggyfoxx 30 авг 2017 в 12:43

Эта запись только для центра сертификации. Браузер не взаимодействует с ней.

cooladmin 30 авг 2017 в 12:44

Кажется, я написал тоже самое =)

alexxisr 30 авг 2017 в 16:26

а какой в этом смысл? если кто-то захочет выпустить сертификат для домена, то он его выпустит не глядя на caa.
по-моему как раз браузер должен сравнивать — кто должен был выпустить и кто реально выпустил и при несовпадении считать сертификат невалидным.

foggyfoxx 30 авг 2017 в 16:27

А как вы его выпустите без участия центра сертификации?
Основная идея как раз в том, чтобы в итоге все центры сертификации проверяли САА в дополнении к существующим способам проверки (почта, веб-сайт, документы).

ildarz 30 авг 2017 в 16:37

если кто-то захочет выпустить сертификат для домена, то он его выпустит не глядя на caa.

Это механизм проверки для добросовестных УЦ, а не для злонамеренных.

по-моему как раз браузер должен сравнивать

Для браузеров предназначен другой тип записей — TLSA.

tankistua 30 авг 2017 в 23:42

Ну так не прокати уже фраза: мы не знали
за выдачу сертификата неавторизированным цс будет моментальный бан, а шутить после симантека и востгна вряд ли найдутся желающие

mxms 31 авг 2017 в 21:22

Вообще, DANE предназначен для верификации клиентским софтом. Если говорить о браузерах, то ни один из них его не поддерживает. Да и вообще с поддержкой DANE очень плохо.

yurror 31 авг 2017 в 11:01

Поправка. Нужна Вам и не только в момент легитимного выпуска сертификата. А для того чтобы злодеи не выпустили через другой CA левый сертификат.

alexxisr 31 авг 2017 в 12:10

если СА позволяет злодеям выпускать сертификат для чужого домена, то кто гарантирует, что он будет смотреть на какие-то записи в днс?
разве смысл существования СА не в том, чтобы проверить является ли проситель сертификата владельцем сертифицируемого ресурса?

dewil 28 июн 2022 в 14:44

Браузеру это не важно.
CAA только для выдачи сертификата.
Думаю в будущем расширят, и браузеры будут палить левые сертификаты.

cooladmin 30 авг 2017 в 12:36

Ну и сошлю на свою заметку на этот счёт, мало ли мой формат изложения кому-то зайдёт. telegra.ph/CHto-takoe-DNS-Certification-Authority-Authorization-08-10

KrondorTheGreat 30 авг 2017 в 12:48

Будут ли отозваны сертификаты, если центр сертификации пропадет из правил в CAA?

foggyfoxx 30 авг 2017 в 12:49

Нет, CAA-запись нужна и проверяется только в момент выдачи сертификата.

ildarz 30 авг 2017 в 13:40

Каждый центр сертификации, начиная с 8 сентября 2017 года будет обязан строго следовать инструкциям, указанным в CAA-записях доменного имени или субдомена для которого запрашивается выпуск сертификата.

Вовсе не каждый. Просто ассоциация крупнейших УЦ договорилась, что ее члены в обязательном порядке будут следовать стандарту, описанному в RFC 6844. Указанный RFC имеет статус Proposed standard, обязательным не является, и это решение не имеет никакой силы для УЦ, не входящих в эту ассоциацию.

foggyfoxx 30 авг 2017 в 14:20

Да, вы правы, внес корректировки в статью. Спсб.

skymal4ik 30 авг 2017 в 13:43

Есть информация, как это будет работать с Let's Encrypt?
Возможно, уже есть готовые примеры записей, разрешающие выпуск этих сертификатов для своих доменов?

pixelcube 30 авг 2017 в 13:45

Да, вот тоже интересует вопрос, как это работает с системами автоматический выдачи ACME, как, например, у Let's Encrypt? Там ведь проверка через TXT

foggyfoxx 30 авг 2017 в 13:51

Да, никакого противоречия нет, они будут сначала проверять наличие CAA-записей, а потом приступать к процедуре выдачи по ACME, если центру не разрешено выдать сертификат, он сообщит ошибкой urn:ietf:params:acme:error:caa