Dieser Artikel behandelt die DNS-Einträge vom Typ CAA, SSHFP und TLSA im Detail. Eine allgemeine Anleitung zu DNS-Einträgen und deren Einrichtung in der Kundenadministration finden Sie im Artikel DNS – Domain-Einträge.
In diesem Artikel erfahren Sie:
- Wozu CAA-Einträge dienen
- Wie der HTTPS-Eintrag funktioniert
- Wie der SSHFP-Eintrag funktioniert
- Wie der TLSA-Eintrag funktioniert
- Häufig gestellte Fragen
CAA-Einträge
Mit einem Certification Authority Authorization (CAA)-Eintrag können Sie festlegen, welche Zertifizierungsstellen (CAs) für die Domain ein SSL-Zertifikat ausstellen dürfen. Eine Variante des Eintrags ermöglicht es außerdem, eine Regel zu definieren, wie und an wen die ausstellende CA meldet, dass jemand versucht hat, für die Domain ein Zertifikat von einer Zertifizierungsstelle ausstellen zu lassen, die durch den Eintrag nicht autorisiert ist.
Wenn für eine Domain oder Subdomain kein CAA-Eintrag gesetzt ist, kann jede beliebige CA ohne Einschränkung ein Zertifikat dafür ausstellen. Eine Zertifizierungsstelle muss CAA-Einträge zudem nicht unterstützen – in diesem Fall verhält sie sich so, als gäbe es sie nicht.
CAA-Einträge, die für die Hauptdomain gesetzt sind, gelten auch für alle Subdomains, für die kein eigener CAA-Eintrag mit anderen Regeln gesetzt ist.
CAA-Einträge eingeben
Eine allgemeine Anleitung zum Einrichten von DNS-Einträgen in der Kundenadministration finden Sie im Artikel DNS – Domain-Einträge.
Wenn die Domain andere DNS-Serververwendet, wirken sich weder automatische noch manuelle Änderungen der WEDOS-Einträge auf ihr Verhalten aus.
Die Daten eines CAA-Eintrags bestehen aus diesen Teilen:
- Flag: positive Zahl mit einem Wert von 0–255 ⧉ (in der Regel 0)
- Tag: definiert die Eigenschaft des CAA-Eintrags
- Value: der dem Tag zugewiesene Wert
Unterstützte Tags sind:
- issue: autorisiert die definierte CA zur Ausstellung eines beliebigen Zertifikatstyps
- issuewild: autorisiert die definierte CA nur zur Ausstellung eines Wildcard-Zertifikats
- iodef: gibt die URL an, an die die ausstellende CA Verstöße gegen die für die jeweilige Domain per CAA definierten Regeln meldet
Beachten Sie beim Ausfüllen eines CAA-Eintrags diese Regeln:
- Weisen Sie jedem Eintrag genau eine Tag-Value-Regel zu.
- Wenn Sie für einen Eintrag mehrere Regeln benötigen, verteilen Sie diese auf separate Einträge.
- Schreiben Sie die Tag-Werte (Value) in Anführungszeichen.
Ein allgemeiner CAA-Eintrag sieht also so aus:
Name TTL Type Data
(Name der Domain oder Subdomain) 300 CAA 0 (Flag) "(Wert)"
Beispiele für CAA-Einträge
Beispiel: Die Domain erlaubt die Ausstellung von Zertifikaten von letsencrypt.org. Versucht eine andere Zertifizierungsstelle, ein Zertifikat auszustellen, sendet sie eine Benachrichtigung per E-Mail an info@wds-test.cz.
HTTPS-Eintrag
Der HTTPS-Eintrag hilft Clients, eine gesicherte Verbindung zu finden, unter anderem durch Informationen zu unterstützten Protokollen und Ports.
Format des HTTPS-Eintrags
Ein DNS-Eintrag vom Typ HTTPS (RFC 9460 ⧉) enthält eine Priorität, ein Ziel (falls es sich von der Domain unterscheidet) und weitere Parameter (zum Beispiel unterstützte HTTP-Versionen, IP-Adress-Hinweise).
SSHFP-Eintrag
Beim Verbindungsaufbau mit einem Server über das SSH-Protokoll erfolgt die Authentifizierung, indem die Identität des Servers anhand von Schlüsseln überprüft wird. Die Sicherheit der Verbindung hängt somit davon ab, dass der vom Server gelieferte Fingerabdruck mit dem erwarteten Fingerabdruck des öffentlichen Serverschlüssels verglichen wird.
Der DNS-Eintrag vom Typ SSHFP (RFC 4255 ⧉) bietet SSH-Clients eine neue Art der Authentifizierung: Der vom Server gelieferte Fingerabdruck wird mit dem in der DNS-Zone der Domain gespeicherten Fingerabdruck verglichen. Beim Vergleich müssen alle Parameter des SSHFP-Eintrags übereinstimmen – die für die Erzeugung des Schlüssels und seines Fingerabdrucks verwendeten Algorithmen sowie der Fingerabdruck des Schlüssels selbst.
Der Einsatz von DNS SSHFP ist nur sinnvoll, wenn dieser Eintrag mit DNSSEC signiert ist und somit nicht gefälscht werden kann.
Format des SSHFP-Eintrags
Ein SSHFP-Eintrag besteht aus drei Teilen: der Nummer des Algorithmus, der zur Erzeugung des Schlüssels verwendet wurde, der Nummer des Algorithmus zur Erzeugung des Fingerabdrucks und dem Fingerabdruck des öffentlichen Serverschlüssels selbst.
TLSA-Eintrag
Der DNS-Eintrag vom Typ TLSA (RFC 6698 ⧉) legt das Zertifikat eines Dienstes für eine Kombination aus Angaben fest – FQDN, Protokoll und Port. Mit einem TLSA-Eintrag lässt sich daher überprüfen, ob das Zertifikat auf dem Weg zwischen Empfänger und Absender verändert wurde.
Format des TLSA-Eintrags
Ein TLSA-Eintrag hat sowohl beim Namen als auch bei den Daten eine spezifische Form. Der symbolische Name eines SRV-Eintrags hat üblicherweise die Form _port._protokoll, z. B. _443._tcp.
Die Daten des TLSA-Eintrags selbst enthalten drei Parameter und anschließend binäre Daten für die Zertifikatszuordnung: die Nummer der Zuordnung des Zertifikats zum Domainnamen, die Nummer des Selektors, die Nummer des Vergleichstyps für den Abgleich des Zertifikats aus der Kette mit den Daten im TLSA-Eintrag und schließlich die Daten für den Abgleich mit dem bereitgestellten Zertifikat.
Häufig gestellte Fragen
Ist das Einrichten von CAA-, SSHFP- und TLSA-Einträgen für eine Domain notwendig?
Nein, die meisten Domains funktionieren problemlos auch ohne diese Einträge.