Ten artykuł szczegółowo omawia rekordy DNS typu CAA, SSHFP i TLSA. Ogólny poradnik dotyczący rekordów DNS i ich ustawiania w Panelu klienta znajdziesz w artykule DNS – Rekordy domeny.
Z tego artykułu dowiesz się:
- Do czego służą rekordy typu CAA
- Jak działa rekord typu HTTPS
- Jak działa rekord typu SSHFP
- Jak działa rekord typu TLSA
- Często zadawane pytania
Rekordy typu CAA
Rekord Certification Authority Authorization (CAA) pozwala określić, które urzędy certyfikacji (CA) mają prawo wystawiać certyfikaty SSL dla domeny. Ten typ rekordu umożliwia też zdefiniowanie reguły, w jaki sposób i komu wystawiający urząd CA zgłosi próbę wystawienia certyfikatu dla domeny przez urząd certyfikacji, którego rekord nie autoryzuje.
Jeśli domena lub subdomena nie ma ustawionego żadnego rekordu CAA, certyfikat może jej wystawić dowolny urząd CA bez ograniczeń. Urząd certyfikacji nie musi też obsługiwać rekordów CAA – w takim przypadku zachowuje się tak, jakby ich nie było.
Rekordy CAA ustawione dla domeny głównej obowiązują także dla wszystkich subdomen, które nie mają własnego rekordu CAA z innymi regułami.
Wprowadzanie rekordów typu CAA
Ogólny poradnik dotyczący ustawiania rekordów DNS w Panelu klienta znajdziesz w artykule DNS – Rekordy domeny.
Jeśli domena korzysta z innych serwerów DNS, automatyczne ani ręczne zmiany rekordów WEDOS nie wpłyną na jej działanie.
Dane rekordu CAA składają się z następujących części:
- Flag: liczba dodatnia z zakresu 0-255 ⧉ (zazwyczaj 0)
- Tag: definiuje właściwość rekordu CAA
- Value: wartość przypisana do tagu
Obsługiwane tagi to:
- issue: autoryzuje wskazany urząd CA do wystawiania certyfikatów dowolnego typu
- issuewild: autoryzuje wskazany urząd CA do wystawiania wyłącznie certyfikatów wildcard
- iodef: określa adres URL, na który wystawiający urząd CA zgłosi naruszenie reguł zdefiniowanych w CAA dla danej domeny
Podczas wypełniania rekordu typu CAA przestrzegaj poniższych zasad:
- Do każdego rekordu przypisuj dokładnie jedną regułę tag-value.
- Jeśli potrzebujesz podać dla jednego rekordu więcej reguł, rozdziel je na osobne rekordy.
- Wartości tagów (value) wpisuj w cudzysłowie.
Ogólny rekord typu CAA wygląda więc następująco:
Name TTL Type Data
(nazwa domeny lub subdomeny) 300 CAA 0 (flag) "(wartość)"
Przykłady rekordów typu CAA
Przykład: Domena zezwala na wystawianie certyfikatów przez letsencrypt.org. Jeśli certyfikat spróbuje wystawić inny urząd, informacja o tym zostanie wysłana e-mailem na adres info@wds-test.cz.
Rekord typu HTTPS
Rekord typu HTTPS pomaga klientom znaleźć bezpieczne połączenie, między innymi dzięki informacjom o obsługiwanych protokołach i portach.
Format rekordu HTTPS
Rekord DNS typu HTTPS (RFC 9460 ⧉) zawiera priorytet, cel (jeśli różni się od domeny) oraz dodatkowe parametry (na przykład obsługiwane wersje HTTP, wskazówki dotyczące adresów IP).
Rekord typu SSHFP
Podczas nawiązywania połączenia z serwerem za pomocą protokołu SSH uwierzytelnianie odbywa się przez weryfikację tożsamości serwera za pomocą kluczy. Bezpieczeństwo połączenia zależy zatem od porównania odcisku przekazanego przez serwer z oczekiwanym odciskiem klucza publicznego serwera.
Rekord DNS typu SSHFP (RFC 4255 ⧉) daje klientom SSH nowy sposób uwierzytelniania, polegający na porównaniu odcisku przekazanego przez serwer z odciskiem zapisanym w strefie DNS domeny. Podczas porównywania muszą zgadzać się wszystkie parametry rekordu SSHFP – algorytmy użyte do wygenerowania klucza i jego odcisku oraz sam odcisk klucza.
Využití DNS SSHFP má smysl pouze v případě, že je tento záznam podepsán technologií DNSSEC a nemůže tedy být podvržen.
Format rekordu SSHFP
SSHFP záznam sestává ze tří částí: čísla algoritmu použitého pro vygenerování klíče, čísla algoritmu pro vygenerování otisku a samotného otisku veřejného klíče serveru.
Rekord typu TLSA
Rekord DNS typu TLSA (RFC 6698 ⧉) określa certyfikat usługi dla kombinacji danych – FQDN, protokołu i portu. Za pomocą rekordu TLSA można więc zweryfikować, czy na drodze między odbiorcą a nadawcą nie doszło do zmiany certyfikatu.
Format rekordu TLSA
Rekord typu TLSA ma specyficzną postać zarówno nazwy, jak i danych. Symboliczna nazwa rekordu SRV ma zwykle postać _port._protokół, np. _443._tcp.
Samotná data TLSA záznamu obsahují tři parametry a následně binární data pro asociaci certifikátu: číslo přiřazení certifikátu doménovému názvu, číslo selektoru, číslo typu porovnávání certifikátu z řetězce proti datům v TLSA záznamu a nakonec data pro porovnávání s poskytnutým certifikátem.
Często zadawane pytania
Czy ustawienie rekordów CAA, SSHFP i TLSA dla domeny jest konieczne?
Nie, większość domen działa bez problemu także bez tych rekordów.