Ez a cikk részletesen bemutatja a CAA, SSHFP és TLSA típusú DNS-rekordokat. A DNS-rekordokról és a Customer Administrationben történő beállításukról általános útmutatót a következő cikkben talál: DNS – Domain DNS-rekordok.
Ebben a cikkben megtudhatja:
- Mire szolgálnak a CAA típusú rekordok
- Hogyan működik a HTTPS típusú rekord
- Hogyan működik az SSHFP típusú rekord
- Hogyan működik a TLSA típusú rekord
- Gyakran ismételt kérdések
CAA típusú rekordok
A Certification Authority Authorization (CAA) rekord segítségével meghatározhatja, mely tanúsítványkiállító hatóságok (CA) állíthatnak ki SSL-tanúsítványt a domainhez. A rekord egyik változatával szabályt is megadhat arra vonatkozóan, hogyan és kinek jelezze a kiállító CA, ha egy olyan tanúsítványkiállító hatóság próbál tanúsítványt kiállítani a domainhez, amelyet a rekord nem jogosít fel erre.
Ha egy domainhez vagy aldomainhez nincs beállítva CAA-rekord, bármelyik CA korlátozás nélkül kiállíthat hozzá tanúsítványt. A tanúsítványkiállító hatóság azt is megteheti, hogy nem támogatja a CAA-rekordokat – ilyenkor úgy viselkedik, mintha azok nem léteznének.
A fődomainhez beállított CAA-rekordok az összes olyan aldomainre is érvényesek, amelyekhez nincs más szabályokat tartalmazó, saját CAA-rekord beállítva.
CAA típusú rekordok megadása
A DNS-rekordok Customer Administrationben történő beállításához általános útmutatót a következő cikkben talál: DNS – Domain DNS-rekordok.
Ha a domain más DNS-szerverekethasznál, a WEDOS-rekordok automatikus és manuális módosításai nem befolyásolják a működését.
A CAA-rekord adatai a következő részekből állnak:
- Flag: pozitív szám 0–255 közötti értékkel ⧉ (általában 0)
- Tag: a CAA-rekord tulajdonságát határozza meg
- Value: a taghez rendelt érték
A támogatott tagek a következők:
- issue: feljogosítja a megadott CA-t bármilyen típusú tanúsítvány kiállítására
- issuewild: feljogosítja a megadott CA-t kizárólag wildcard tanúsítvány kiállítására
- iodef: megadja azt az URL-t, amelyen a kiállító CA jelzi a domainhez megadott CAA-szabályok megsértését
A CAA típusú rekord kitöltésekor tartsa be az alábbi szabályokat:
- Minden rekordhoz pontosan egy tag-value szabályt rendeljen.
- Ha egy rekordhoz több szabályt szeretne megadni, ossza fel azokat külön rekordok között.
- A tagek értékeit (value) idézőjelek közé írja.
Az általános CAA típusú rekord tehát így néz ki:
Name TTL Type Data
(domain vagy aldomain neve) 300 CAA 0 (flag) "(érték)"
Példák CAA típusú rekordokra
Példa: A domain engedélyezi a letsencrypt.org által kiállított tanúsítványokat. Ha más hatóság próbál tanúsítványt kiállítani, erről e-mailben értesítést küld az info@wds-test.cz címre.
HTTPS típusú rekord
A HTTPS típusú rekord segít a klienseknek megtalálni a biztonságos kapcsolatot, egyebek mellett a támogatott protokollokról és portokról szóló információk megadásával.
A HTTPS-rekord formátuma
A HTTPS típusú DNS-rekord (RFC 9460 ⧉) tartalmazza a prioritást, a célt (ha eltér a domaintől) és további paramétereket (például a támogatott HTTP-verziókat, IP-cím-tippeket).
SSHFP típusú rekord
Az SSH protokollal létesített szerverkapcsolat során a hitelesítés a szerver identitásának kulcsokkal történő ellenőrzésével zajlik. A kapcsolat biztonsága ezért azon múlik, hogy a szerver által megadott ujjlenyomat egyezik-e a szerver nyilvános kulcsának várt ujjlenyomatával.
Az SSHFP típusú DNS-rekord (RFC 4255 ⧉) új hitelesítési módot ad az SSH-klienseknek: a szerver által megadott ujjlenyomatot a domain DNS-zónájában tárolt ujjlenyomattal hasonlítják össze. Az összehasonlításkor az SSHFP-rekord minden paraméterének egyeznie kell – a kulcs és az ujjlenyomat előállításához használt algoritmusoknak, valamint magának a kulcs ujjlenyomatának is.
A DNS SSHFP használata csak akkor van értelme, ha a rekordot DNSSEC technológiával aláírták, így nem lehet meghamisítani.
Az SSHFP-rekord formátuma
Az SSHFP rekord három részből áll: a kulcs generálásához használt algoritmus számából, az ujjlenyomat generálásához használt algoritmus számából, valamint a szerver nyilvános kulcsának ujjlenyomatából.
TLSA típusú rekord
A TLSA típusú DNS-rekord (RFC 6698 ⧉) meghatározza a szolgáltatás tanúsítványát az FQDN, a protokoll és a port kombinációjához. A TLSA-rekord segítségével tehát ellenőrizhető, hogy a címzett és a feladó közötti úton nem módosították-e a tanúsítványt.
A TLSA-rekord formátuma
A TLSA típusú rekord neve és adatai is speciális alakúak. Az SRV-rekord szimbolikus neve általában ilyen alakú: _port._protokoll, pl. _443._tcp.
Maga a TLSA rekord adatai három paramétert, majd a tanúsítvány társításához szükséges bináris adatokat tartalmazzák: a tanúsítvány doménnévhez rendelésének számát, a szelektor számát, a láncban szereplő tanúsítvány és a TLSA rekord adatainak összehasonlítási típusát jelölő számot, végül a megadott tanúsítvánnyal összehasonlítandó adatokat.
Gyakran ismételt kérdések
Szükséges a CAA, SSHFP és TLSA rekordok beállítása a domainhez?
Nem, a legtöbb domain ezek nélkül is problémamentesen működik.