Ta članek podrobno obravnava DNS zapise tipov CAA, SSHFP in TLSA. Splošna navodila za DNS zapise in njihovo nastavitev v uporabniški administraciji najdete v članku DNS – Zapisi domene.
V tem članku boste izvedeli:
- Čemu služijo zapisi tipa CAA
- Kako deluje zapis tipa HTTPS
- Kako deluje zapis tipa SSHFP
- Kako deluje zapis tipa TLSA
- Pogosto zastavljena vprašanja
Zapisi tipa CAA
Zapis Certification Authority Authorization (CAA) omogoča določiti, kateri overitelji potrdil (CA) smejo za domeno izdati SSL potrdilo. Različica zapisa omogoča tudi opredelitev pravila, kako in komu izdajatelj CA sporoči dogodek, ko poskuša nekdo za domeno izdati potrdilo overitelj, ki ga zapis ne pooblašča.
Če domena ali poddomena nima nastavljenega nobenega zapisa CAA, ji lahko potrdilo izda katera koli CA brez omejitev. Overitelj potrdil prav tako ni nujno, da zapise CAA podpira – v tem primeru se obnaša enako, kot da ne bi obstajali.
Zapisi CAA, nastavljeni za glavno domeno, veljajo tudi za vse poddomene, ki nimajo nastavljenega lastnega zapisa CAA z drugačnimi pravili.
Vnos zapisov tipa CAA
Splošna navodila za nastavitev DNS zapisov v uporabniški administraciji najdete v članku DNS – Zapisi domene.
Če domena uporablja druge DNS strežnike, samodejne ali ročne spremembe zapisov WEDOS ne vplivajo na njeno delovanje.
Podatke zapisa CAA sestavljajo ti deli:
- Flag: pozitivno število z vrednostjo 0–255 ⧉ (praviloma 0)
- Tag: določa lastnost zapisa CAA
- Value: vrednost, dodeljena oznaki
Podprte oznake so:
- issue: pooblašča določeno CA za izdajo katere koli vrste potrdila
- issuewild: pooblašča določeno CA za izdajo samo wildcard potrdila
- iodef: določa URL, na katerega izdajatelj CA sporoči kršitev pravil, ki jih za to domeno določa CAA
Pri izpolnjevanju zapisa tipa CAA upoštevajte ta pravila:
- Vsakemu zapisu dodelite natanko eno pravilo tag-value.
- Če morate enemu zapisu določiti več pravil, jih razdelite med samostojne zapise.
- Vrednosti oznak (value) pišite v narekovaje.
Splošni zapis tipa CAA torej izgleda takole:
Name TTL Type Data
(ime domene ali poddomene) 300 CAA 0 (flag) "(vrednost)"
Primeri zapisov tipa CAA
Primer: Domena omogoča izdajo potrdil pri letsencrypt.org. Če poskuša potrdilo izdati drug overitelj, o tem pošlje informacijo po e-pošti na info@wds-test.cz.
Zapis tipa HTTPS
Zapis tipa HTTPS pomaga odjemalcem pri iskanju varne povezave, med drugim z zagotavljanjem informacij o podprtih protokolih in vratih.
Oblika zapisa HTTPS
DNS zapis tipa HTTPS (RFC 9460 ⧉) vsebuje prioriteto, cilj (če se razlikuje od domene) in dodatne parametre (na primer podprte različice HTTP, namige za IP naslove).
Zapis tipa SSHFP
Pri vzpostavljanju povezave s strežnikom prek protokola SSH poteka avtentikacija s preverjanjem identitete strežnika s pomočjo ključev. Varnost povezave je tako odvisna od primerjave prstnega odtisa, ki ga posreduje strežnik, s pričakovanim prstnim odtisom javnega ključa strežnika.
DNS zapis tipa SSHFP (RFC 4255 ⧉) odjemalcem SSH omogoča nov način avtentikacije s primerjavo prstnega odtisa, ki ga posreduje strežnik, z odtisom, shranjenim v DNS coni domene. Pri primerjavi se morajo ujemati vsi parametri zapisa SSHFP – algoritma, uporabljena za generiranje ključa in njegovega odtisa, ter sam odtis ključa.
Uporaba DNS SSHFP je smiselna le, če je ta zapis podpisan s tehnologijo DNSSEC in ga zato ni mogoče ponarediti.
Oblika zapisa SSHFP
Zapis SSHFP je sestavljen iz treh delov: številke algoritma, uporabljenega za generiranje ključa, številke algoritma za generiranje prstnega odtisa in samega prstnega odtisa javnega ključa strežnika.
Zapis tipa TLSA
DNS zapis tipa TLSA (RFC 6698 ⧉) določa potrdilo storitve za kombinacijo podatkov – FQDN, protokol in vrata. S pomočjo zapisa TLSA je torej mogoče preveriti, ali je na poti med prejemnikom in pošiljateljem prišlo do spremembe potrdila.
Oblika zapisa TLSA
Zapis tipa TLSA ima specifično obliko imena in podatkov. Simbolično ime zapisa SRV ima običajno obliko _vrata._protokol, npr. _443._tcp.
Podatki zapisa TLSA vsebujejo tri parametre, nato pa binarne podatke za povezavo certifikata: številko dodelitve certifikata domenskemu imenu, številko selektorja, številko vrste primerjave certifikata iz verige s podatki v zapisu TLSA in na koncu podatke za primerjavo s predloženim certifikatom.
Pogosto zastavljena vprašanja
Ali je nastavitev zapisov CAA, SSHFP in TLSA pri domeni nujna?
Ne, večina domen brez težav deluje tudi brez teh zapisov.