Tento článok podrobne rozoberá DNS záznamy typu CAA, SSHFP a TLSA. Všeobecný návod k DNS záznamom a ich nastaveniu v zákazníckej administrácii nájdete v článku DNS – Záznamy domény.
V tomto článku sa dozviete:
- Na čo slúžia záznamy typu CAA
- Ako funguje záznam typu HTTPS
- Ako funguje záznam typu SSHFP
- Ako funguje záznam typu TLSA
- Často kladené otázky
Záznamy typu CAA
Záznam Certification Authority Authorization (CAA) umožňuje určiť, ktoré certifikačné autority (CA) majú povolené vystaviť doméne SSL certifikát. Variant záznamu tiež umožňuje definovať pravidlo, ako a komu vystavujúca CA oznámi udalosť, keď sa niekto pokúsi vystaviť doméne certifikát certifikačnou autoritou, ktorú na to záznam neautorizuje.
Ak doména alebo subdoména nemá nastavený žiadny CAA záznam, môže jej certifikát vystaviť ktorákoľvek CA bez obmedzenia. Certifikačná autorita tiež nemusí CAA záznamy podporovať – v takom prípade sa správa rovnako, ako keby neexistovali.
CAA záznamy nastavené pre hlavnú doménu platia aj pre všetky subdomény, ktoré nemajú nastavený vlastný CAA záznam s inými pravidlami.
Zadanie záznamov typu CAA
Všeobecný návod na nastavenie DNS záznamov v zákazníckej administrácii nájdete v článku DNS – Záznamy domény.
Ak doména používa iné DNS servery, automatické ani manuálne zmeny záznamov WEDOS sa na jej správaní neprejavia.
Dáta CAA záznamu tvoria tieto časti:
- Flag: kladné číslo s hodnotou 0-255 ⧉ (spravidla 0)
- Tag: definuje vlastnosť CAA záznamu
- Value: hodnota priradená tagu
Podporované tagy sú:
- issue: autorizuje definovanú CA na vystavenie akéhokoľvek typu certifikátu
- issuewild: autorizuje definovanú CA na vystavenie iba wildcard certifikátu
- iodef: špecifikuje URL, na ktorú vystavujúca CA oznámi porušenie pravidiel definovaných CAA pre danú doménu
Pri vypĺňaní záznamu typu CAA dodržiavajte tieto pravidlá:
- Každému záznamu priraďujte práve jedno pravidlo tag-value.
- Ak potrebujete jednému záznamu zadať viac pravidiel, rozdeľte ich do samostatných záznamov.
- Hodnoty tagov (value) píšte do úvodzoviek.
Všeobecný záznam typu CAA teda vyzerá takto:
Name TTL Type Data
(názov domény alebo subdomény) 300 CAA 0 (flag) "(hodnota)"
Príklady záznamov typu CAA
Príklad: Doména umožňuje vystavenie certifikátov od letsencrypt.org. Ak sa certifikát pokúsi vystaviť iná autorita, zašle o tom informáciu e-mailom na info@wds-test.cz.
Záznam typu HTTPS
Záznam typu HTTPS pomáha klientom nájsť zabezpečené pripojenie, okrem iného poskytnutím informácií o podporovaných protokoloch a portoch.
Formát záznamu HTTPS
DNS záznam typu HTTPS (RFC 9460 ⧉) obsahuje prioritu, cieľ (ak sa líši od domény) a ďalšie parametre (napríklad podporované verzie HTTP, nápovedy IP adries).
Záznam typu SSHFP
Pri nadväzovaní spojenia so serverom pomocou protokolu SSH dochádza k autentifikácii overením identity servera pomocou kľúčov. Bezpečnosť spojenia tak závisí od porovnania odtlačku poskytnutého serverom s očakávaným odtlačkom verejného kľúča servera.
DNS záznam typu SSHFP (RFC 4255 ⧉) dáva SSH klientom nový spôsob autentifikácie porovnaním odtlačku poskytnutého serverom oproti odtlačku uloženému v DNS zóne domény. Pri porovnávaní musia súhlasiť všetky parametre SSHFP záznamu – algoritmy použité na vygenerovanie kľúča a jeho odtlačku, a ďalej samotný odtlačok kľúča.
Využitie DNS SSHFP má zmysel iba v prípade, že je tento záznam podpísaný technológiou DNSSEC a nemôže byť teda sfalšovaný.
Formát záznamu SSHFP
Záznam SSHFP pozostáva z troch častí: čísla algoritmu použitého na vygenerovanie kľúča, čísla algoritmu na vygenerovanie odtlačku a samotného odtlačku verejného kľúča servera.
Záznam typu TLSA
DNS záznam typu TLSA (RFC 6698 ⧉) určuje certifikát služby pre kombináciu údajov – FQDN, protokol a port. Pomocou TLSA záznamu je teda možné overiť, či nedošlo na ceste medzi príjemcom a odosielateľom k zmene certifikátu.
Formát záznamu TLSA
Záznam typu TLSA má špecifický tvar názvu aj dát. Symbolický názov SRV záznamu býva obvykle v tvare _port._protocol, napr. _443._tcp.
Samotné údaje záznamu TLSA obsahujú tri parametre a následne binárne údaje na asociáciu certifikátu: číslo priradenia certifikátu k doménovému názvu, číslo selektora, číslo typu porovnávania certifikátu z reťazca proti údajom v zázname TLSA a nakoniec údaje na porovnávanie s poskytnutým certifikátom.
Často kladené otázky
Je nastavenie CAA, SSHFP a TLSA záznamov pri doméne nevyhnutné?
Nie, väčšina domén funguje bez problémov aj bez týchto záznamov.