Jos olet seurannut lukuja DNS-tietuetyypeistä, tiedät, että jokaisella DNS-vyöhykkeesi tietueella on oma tarkoituksensa. A-tietueet osoittavat palvelimiin. MX-tietueet reitittävät sähköpostin. TXT-tietueet hoitavat varmennuksen ja sähköpostin tietoturvan. CAA-tietue tekee jotain muuta. Se määrää, kuka saa myöntää SSL-varmenteita verkkotunnuksellesi.
Ilman CAA-tietuetta mikä tahansa varmentaja maailmassa voi myöntää verkkotunnuksellesi varmenteen, jos joku sellaista pyytää. Se saattaa kuulostaa harmittomalta, mutta se avaa oven sille, että varmenteita myöntävät tahot, joita et ole koskaan valinnut etkä hyväksynyt. CAA-tietueen lisääminen sulkee oven ja antaa hallinnan sinulle.
Mitä CAA tarkoittaa?
CAA tulee sanoista certificate authority authorization, eli varmentajan valtuutus. Nimi kertoo täsmälleen, mitä tietue tekee. Se valtuuttaa tietyt varmentajat (CA) myöntämään SSL-varmenteita verkkotunnuksellesi ja käskee kaikkia muita CA:ita kieltäytymään.
Varmentajat ovat organisaatioita, jotka vastaavat sen varmistamisesta, että verkkotunnuksen omistaja on se, joka hän väittää olevansa, ja myöntävät sitten SSL-varmenteen, joka mahdollistaa HTTPS:n. Maailmalla toimii kymmeniä varmentajia. Ilman CAA-tietuetta verkkotunnuksesi on avoin kaikille. Tietueen kanssa sinä valitset, kenellä on lupa.
Miltä CAA-tietue näyttää?
CAA-tietueessa on kolme pääosaa, jotka toimivat yhdessä. Tässä, mitä kukin tarkoittaa.
- Lippu (flag) on numero, joka määrää, miten tietuetta käsitellään. Useimmissa määrityksissä se on 0. Lippu 128 käskee CA:n kieltäytyä myöntämästä varmennetta, jos se ei ymmärrä tietueen tunnistetta, sen sijaan että se ohittaisi tietueen
- Tunniste (tag) kertoo CA:lle, millaisen luvan tai ohjeen tietue sisältää. Tunnistetyyppejä on kolme, ja ne selitetään tarkemmin alla
- Arvo (value) on valtuutetun varmentajan nimi tai ilmoituksia varten annettu yhteysosoite. Se kirjoitetaan aina lainausmerkkeihin
Tältä yksinkertainen CAA-tietue näyttää DNS-paneelissa.
- Isäntänimi asetettu arvoon @
- Tyyppi asetettu arvoon CAA
- Lippu asetettu arvoon 0
- Tunniste asetettu arvoon issue
- Arvo asetettu arvoon "ca-example.org"
Tämä tietue sanoo yhden asian. Vain varmentaja ca-example.org saa myöntää tavallisia SSL-varmenteita tälle verkkotunnukselle. Jokaisen muun CA:n, joka saa varmennepyynnön verkkotunnuksellesi, pitää tarkistaa ensin CAA-tietueesi ja kieltäytyä, jos se ei ole listalla.
Mitkä ovat CAA-tietueen kolme tunnistetyyppiä?
Jokainen CAA-tietue käyttää yhtä kolmesta tunnisteesta. Tunniste kertoo varmentajille, millaisen ohjeen tietue sisältää.
"issue"-tunniste
Issue-tunniste on yleisin. Se nimeää varmentajan, jolla on lupa myöntää tavallisia SSL-varmenteita verkkotunnuksellesi. Jos haluat sallia kaksi eri CA:ta, lisäät kaksi erillistä CAA-tietuetta, kummassakin issue-tunniste ja eri CA:n nimi.
Jos esimerkiksi verkkotunnuksesi käyttää varmenteita kahdelta eri varmentajalta, sinulla olisi kaksi CAA-tietuetta.
- 0 issue "ca-example.org"
- 0 issue "other-ca-example.com"
Jos haluat estää varmenteiden myöntämisen kokonaan, voit asettaa issue-arvoksi puolipisteen, jonka perässä ei ole mitään. Se kertoo jokaiselle CA:lle maailmassa, ettei kukaan ole valtuutettu myöntämään varmenteita verkkotunnuksellesi.
"issuewild"-tunniste
Issuewild-tunniste toimii samalla tavalla kuin issue, mutta se koskee vain jokerimerkkivarmenteita (wildcard). Jokerimerkkivarmenne kattaa pääverkkotunnuksesi ja kaikki sen aliverkkotunnukset kerralla (kuten *.yourdomain.com).
Jos asetat issuewild-tietueen, se määrää, mitkä CA:t saavat myöntää jokerimerkkivarmenteita erillään siitä, kuka saa myöntää tavallisia. Tämä on hyödyllistä, jos haluat yhden CA:n hoitavan tavalliset varmenteesi ja toisen CA:n jokerimerkkivarmenteet tai jos haluat estää jokerimerkkivarmenteet kokonaan mutta sallia tavalliset.
Jos issuewild-tietuetta ei ole, issue-tunniste koskee oletuksena sekä tavallisia että jokerimerkkivarmenteita.
"iodef"-tunniste
Iodef-tunniste ei määrää, kuka saa myöntää varmenteita. Sen sijaan se kertoo CA:ille, minne lähettää raportti, jos joku yrittää pyytää varmennetta, joka rikkoo CAA-käytäntöäsi.
Arvo on yleensä sähköpostiosoite tai URL. Esimerkiksi.
- 0 iodef "mailto:security@yourdomain.com"
Tämä tarkoittaa, että jos CA saa varmennepyynnön verkkotunnuksellesi ja CAA-tietueesi sanoo, ettei kyseinen CA ole valtuutettu, CA:n pitäisi lähettää ilmoitus kyseiseen sähköpostiosoitteeseen. Kaikki CA:t eivät tue iodef-raportointia, mutta ne, jotka tukevat, antavat sinulle näkyvyyden luvattomiin varmennepyyntöihin.
Miten CAA-tietue lisätään?
CAA-tietueen lisääminen noudattaa samanlaista prosessia kuin minkä tahansa muun DNS-tietueen lisääminen. Jos olet aiemmin lisännyt TXT- tai A-tietueen, tämä tuntuu tutulta.
- Kirjaudu DNS-hallintapaneeliin, jossa verkkotunnuksesi nimipalvelimet on asetettu. Se on yleensä verkkotunnuksen rekisteröijä tai web-hotellipalveluntarjoajasi
- Etsi DNS-tietueiden osio tai DNS-vyöhykkeen muokkain
- Valitse uuden tietueen lisääminen
- Valitse tietuetyypiksi CAA
- Aseta lippu arvoon 0, ellei sinulla ole erityistä syytä käyttää arvoa 128
- Valitse tunnistetyyppi. Käytä "issue" tavallisille varmenteille, "issuewild" jokerimerkkivarmenteille tai "iodef" rikkomusraporteille
- Syötä arvo. Issue- ja issuewild-tunnisteille se on CA:n verkkotunnus (kuten "ca-example.org"). Iodef-tunnisteelle se on sähköpostiosoite tai raportointi-URL
- Tallenna tietue
Jos haluat valtuuttaa useamman kuin yhden CA:n, lisää kullekin erillinen CAA-tietue. DNS-muutokset voivat kestää muutamasta minuutista 48 tuntiin levitäkseen. Lisätietoa siitä löydät luvusta DNS:n toiminnasta.
Tarvitsetko CAA-tietueen?
CAA-tietue ei ole pakollinen. Verkkotunnuksesi toimii täysin hyvin ilman sitä, ja SSL-varmenteesi toimii edelleen. Mutta sen avulla saat hyödyllisen lisäkerroksen verkkotunnuksen tietoturvaan, ja sen käyttöönotto ei maksa mitään.
Ilman CAA-tietuetta mikä tahansa varmentaja voi myöntää SSL-varmenteen verkkotunnuksellesi, jos joku sellaista pyytää. Useimmissa tapauksissa tämä ei ole ongelma, koska CA:illa on omat varmennusvaiheensa. Mutta nämä vaiheet eivät ole erehtymättömiä. On ollut tapauksia, joissa varmenteita on myönnetty vääriin käsiin, joko virheiden tai heikomman validoinnin CA:iden vuoksi.
Kun CAA-tietue on paikallaan, vain erikseen nimeämäsi CA:t voivat myöntää varmenteita. Jokaisen muun CA:n on kieltäydyttävä, vaikka varmennetta pyytävä henkilö läpäisisi heidän tavalliset tarkistuksensa. Se on pieni lisäys DNS-vyöhykkeeseesi, joka vähentää kokonaista riskiluokkaa.
Mitä tapahtuu, jos CAA-tietueesi estää oikeutetun pyynnön?
Jos lisäät CAA-tietueen, joka nimeää yhden CA:n, ja yrität sitten hankkia varmenteen toiselta CA:lta, pyyntö epäonnistuu. CA tarkistaa CAA-tietueesi, näkee, ettei se ole valtuutettu, ja kieltäytyy myöntämästä varmennetta.
Tämä ei ole virhe. Se on koko tarkoitus. Mutta se tarkoittaa, että CAA-tietueesi pitää pitää synkronoituna sen CA:n kanssa, jota web-hotellipalveluntarjoajasi tai verkkosivualustasi käyttää. Jos vaihdat web-hotellipalveluntarjoajaa ja uusi käyttää eri CA:ta, sinun pitää päivittää CAA-tietueesi sisältämään uusi.
Korjaus on yksinkertainen. Joko lisää uusi CAA-tietue uudelle CA:lle tai päivitä olemassa oleva. Tärkeää on tarkistaa CAA-tietueesi aina, kun vaihdat SSL-palveluntarjoajaa tai web-hotellimääritystä.
Miten WEMASY hoitaa CAA-tietueet
Kun rakennat verkkosivuston WEMASYllä ja yhdistät oman verkkotunnuksen, WEMASY myöntää ja hallinnoi SSL-varmenteesi automaattisesti. Jos haluat lisätä CAA-tietueen lisäturvaksi, WEMASYn verkkotunnuksen käyttöönotto-opas kertoo, mikä CA valtuutetaan, jotta varmenteen uusiminen ei koskaan estyisi.
WEMASY hoitaa SSL:n, web-hotellin ja verkkotunnuksen määritykset saman katon alla, joten sinun ei tarvitse huolehtia siitä, että epäsopivat CAA-tietueet rikkoisivat varmenteesi. Jos lisäät CAA-tietueen, varmista vain, että se sisältää CA:n, jota WEMASY käyttää. Katso, mitä kukin paketti sisältää, WEMASYn hinnastosta.
Mitä seuraavaksi
Nyt kun ymmärrät, miten CAA-tietue määrää, mitkä varmentajat saavat myöntää SSL-varmenteita verkkotunnuksellesi, seuraava luku käsittelee SRV-tietueita. SRV-tietueet kertovat internetille, mistä löytää verkkotunnuksellasi toimivia tiettyjä palveluita, kuten VoIP- tai chat-palvelimia. Yleiskatsauksen kaikista tietuetyypeistä ja siitä, milloin kutakin käytetään, löydät luvusta DNS-tietuetyypeistä.
Usein kysytyt kysymykset
Vaikuttaako CAA-tietue sivustosi nopeuteen tai käytettävyyteen?
Ei. CAA-tietueet tarkistetaan vain, kun varmentaja käsittelee uutta varmennepyyntöä. Ne eivät osallistu siihen, miten sivustosi latautuu tai miten vierailijat tavoittavat sivusi. Sivustosi nopeus ja käytettävyys riippuvat web-hotellistasi, A-tietueestasi ja palvelimesi suorituskyvystä, eivät CAA-asetuksistasi. WEMASY-sivustonrakentajalla voit tehdä tämän suoraan sivustollasi.
Mitä tapahtuu, jos CAA-tietueita ei ole lainkaan?
Jos verkkotunnuksellasi ei ole CAA-tietueita, jokaisella varmentajalla maailmassa on lupa myöntää sille varmenteita. Tämä on useimpien verkkotunnusten oletustila. Se ei aiheuta välitöntä ongelmaa, mutta se tarkoittaa, ettei sille, kuka saa SSL-varmenteen verkkotunnuksesi nimellä, ole mitään rajoitusta.
Voiko aliverkkotunnuksilla olla CAA-tietueita?
Kyllä. Voit asettaa CAA-tietueita tietyille aliverkkotunnuksille hallitaksesi varmenteiden myöntämistä tarkemmalla tasolla. Jos aliverkkotunnuksella on oma CAA-tietue, se on ensisijainen juuriverkkotunnuksen tietueeseen nähden. Jos aliverkkotunnuksella ei ole CAA-tietuetta, CA tarkistaa sen sijaan ylätason verkkotunnuksen CAA-tietueet.
Miten saat selville, mitä CA:ta web-hotellipalveluntarjoajasi käyttää?
Helpoin tapa on tarkistaa nykyinen SSL-varmenteesi. Useimmissa selaimissa voit napsauttaa osoiterivin lukkokuvaketta, katsoa varmenteen tiedot ja nähdä, mikä CA sen myönsi. Voit myös ottaa yhteyttä web-hotellipalveluntarjoajaasi suoraan. Varmentajia on useita, ja ne ovat usein palveluntarjoajasi valitsemia.
Estääkö CAA-tietue sen, ettei joku luo sivustostasi väärennettyä versiota?
CAA-tietue tekee vaikeammaksi sen, että joku saa aidon SSL-varmenteen verkkotunnuksellesi luvattomalta CA:lta. Se ei estä kaikkia kalastelun tai esiintymisen muotoja, mutta se poistaa yhden reitin, jota hyökkääjä voisi käyttää. Yhdessä vahvojen salasanojen, WHOIS-yksityisyyden ja rekisteröijän tilin turvassa pitämisen kanssa CAA-tietue on yksi osa laajempaa tietoturvakokonaisuutta.