Questo articolo analizza in dettaglio i record DNS di tipo CAA, SSHFP e TLSA. Una guida generale ai record DNS e alla loro configurazione nella Customer Administration è disponibile nell’articolo DNS – Record del dominio.
In questo articolo scoprirà:
- A cosa servono i record di tipo CAA
- Come funziona il record di tipo HTTPS
- Come funziona il record di tipo SSHFP
- Come funziona il record di tipo TLSA
- Domande frequenti
Record di tipo CAA
Il record Certification Authority Authorization (CAA) consente di stabilire quali autorità di certificazione (CA) possono emettere un certificato SSL per il dominio. Una variante del record permette inoltre di definire una regola su come e a chi la CA emittente deve segnalare l’evento in cui qualcuno tenti di emettere un certificato per il dominio tramite un’autorità di certificazione non autorizzata dal record.
Se un dominio o sottodominio non ha alcun record CAA configurato, qualsiasi CA può emettere un certificato per esso senza restrizioni. Inoltre, un’autorità di certificazione può non supportare i record CAA: in tal caso si comporta come se non esistessero.
I record CAA configurati per il dominio principale valgono anche per tutti i sottodomini che non hanno un proprio record CAA con regole diverse.
Inserimento dei record di tipo CAA
Una guida generale alla configurazione dei record DNS nella Customer Administration è disponibile nell’articolo DNS – Record del dominio.
Se il dominio utilizza altri server DNS, le modifiche ai record WEDOS, sia automatiche che manuali, non avranno alcun effetto sul suo funzionamento.
I dati di un record CAA sono composti da queste parti:
- Flag: numero positivo con valore 0-255 ⧉ (di norma 0)
- Tag: definisce la proprietà del record CAA
- Value: valore assegnato al tag
I tag supportati sono:
- issue: autorizza la CA definita a emettere qualsiasi tipo di certificato
- issuewild: autorizza la CA definita a emettere solo certificati wildcard
- iodef: specifica l’URL a cui la CA emittente segnala la violazione delle regole definite dai record CAA per il dominio in questione
Nella compilazione di un record di tipo CAA rispetti queste regole:
- A ogni record assegni esattamente una regola tag-value.
- Se per un record ha bisogno di più regole, le suddivida in record separati.
- I valori dei tag (value) vanno scritti tra virgolette.
Un record generico di tipo CAA ha quindi questo aspetto:
Name TTL Type Data
(nome del dominio o sottodominio) 300 CAA 0 (flag) "(valore)"
Esempi di record di tipo CAA
Esempio: Il dominio consente l’emissione di certificati da letsencrypt.org. Se un’altra autorità tenta di emettere un certificato, invia una notifica via e-mail a info@wds-test.cz.
Record di tipo HTTPS
Il record di tipo HTTPS aiuta i client a trovare una connessione sicura, fornendo tra l’altro informazioni sui protocolli e sulle porte supportati.
Formato del record HTTPS
Il record DNS di tipo HTTPS (RFC 9460 ⧉) contiene la priorità, la destinazione (se diversa dal dominio) e altri parametri (ad esempio le versioni HTTP supportate, i suggerimenti sugli indirizzi IP).
Record di tipo SSHFP
Quando si stabilisce una connessione con un server tramite il protocollo SSH, l’autenticazione avviene verificando l’identità del server mediante chiavi. La sicurezza della connessione dipende quindi dal confronto tra l’impronta fornita dal server e l’impronta attesa della chiave pubblica del server.
Il record DNS di tipo SSHFP (RFC 4255 ⧉) offre ai client SSH un nuovo metodo di autenticazione, confrontando l’impronta fornita dal server con quella memorizzata nella zona DNS del dominio. Nel confronto devono coincidere tutti i parametri del record SSHFP: gli algoritmi utilizzati per generare la chiave e la sua impronta, nonché l’impronta stessa della chiave.
L’uso di DNS SSHFP ha senso solo se questo record è firmato con la tecnologia DNSSEC e non può quindi essere falsificato.
Formato del record SSHFP
Un record SSHFP è composto da tre parti: il numero dell’algoritmo utilizzato per generare la chiave, il numero dell’algoritmo utilizzato per generare l’impronta e l’impronta stessa della chiave pubblica del server.
Record di tipo TLSA
Il record DNS di tipo TLSA (RFC 6698 ⧉) determina il certificato di un servizio per una combinazione di dati: FQDN, protocollo e porta. Tramite il record TLSA è quindi possibile verificare che il certificato non sia stato alterato lungo il percorso tra destinatario e mittente.
Formato del record TLSA
Il record di tipo TLSA ha una forma specifica sia per il nome che per i dati. Il nome simbolico del record SRV ha solitamente la forma _porta._protocollo, ad es. _443._tcp.
I dati del record TLSA contengono tre parametri e di seguito i dati binari per l’associazione del certificato: il numero di assegnazione del certificato al nome di dominio, il numero del selettore, il numero del tipo di confronto del certificato della catena con i dati del record TLSA e, infine, i dati da confrontare con il certificato fornito.
Domande frequenti
È necessario configurare i record CAA, SSHFP e TLSA per un dominio?
No, la maggior parte dei domini funziona senza problemi anche senza questi record.