Ця стаття докладно розглядає DNS записи типу CAA, SSHFP та TLSA. Загальну інструкцію щодо DNS записів і їх налаштування в адміністрації клієнта ви знайдете в статті DNS – Записи домену.
У цій статті ви дізнаєтеся:
- Для чого призначені записи типу CAA
- Як працює запис типу HTTPS
- Як працює запис типу SSHFP
- Як працює запис типу TLSA
- Часті запитання
Записи типу CAA
Запис Certification Authority Authorization (CAA) дає змогу визначити, які центри сертифікації (CA) мають право видавати SSL-сертифікат для домену. Також цей запис дозволяє задати правило, як і кому той центр сертифікації, що видає сертифікат, повідомить про подію, коли хтось намагається отримати для домену сертифікат у центрі сертифікації, якого запис для цього не уповноважує.
Якщо для домену або субдомену не налаштовано жодного CAA запису, сертифікат для нього може видати будь-який центр сертифікації без обмежень. Центр сертифікації також може не підтримувати CAA записи – у такому разі він поводиться так, ніби їх не існує.
CAA записи, налаштовані для головного домену, діють і для всіх субдоменів, які не мають власного CAA запису з іншими правилами.
Додавання записів типу CAA
Загальну інструкцію щодо налаштування DNS записів в адміністрації клієнта ви знайдете в статті DNS – Записи домену.
Якщо домен використовує інші DNS-сервери, автоматичні чи ручні зміни записів WEDOS ніяк не вплинуть на його роботу.
Дані CAA запису складаються з таких частин:
- Flag: додатне число зі значенням 0-255 ⧉ (зазвичай 0)
- Tag: визначає властивість CAA запису
- Value: значення, призначене тегу
Підтримувані теги:
- issue: уповноважує визначений CA видавати будь-який тип сертифіката
- issuewild: уповноважує визначений CA видавати лише wildcard-сертифікат
- iodef: вказує URL, на який центр сертифікації повідомить про порушення правил, визначених CAA для цього домену
Заповнюючи запис типу CAA, дотримуйтеся таких правил:
- Кожному запису призначайте рівно одне правило tag-value.
- Якщо для одного запису потрібно вказати кілька правил, розділіть їх на окремі записи.
- Значення тегів (value) записуйте в лапках.
Загальний запис типу CAA виглядає так:
Name TTL Type Data
(ім'я домену або субдомену) 300 CAA 0 (flag) "(значення)"
Приклади записів типу CAA
Приклад: Домен дозволяє видавати сертифікати від letsencrypt.org. Якщо сертифікат спробує видати інший центр сертифікації, він надішле повідомлення електронною поштою на info@wds-test.cz.
Запис типу HTTPS
Запис типу HTTPS допомагає клієнтам знайти захищене з’єднання, зокрема надаючи інформацію про підтримувані протоколи та порти.
Формат запису HTTPS
DNS запис типу HTTPS (RFC 9460 ⧉) містить пріоритет, ціль (якщо вона відрізняється від домену) та інші параметри (наприклад, підтримувані версії HTTP, підказки щодо IP-адрес).
Запис типу SSHFP
Під час встановлення з’єднання із сервером за протоколом SSH відбувається автентифікація шляхом перевірки особи сервера за допомогою ключів. Безпека з’єднання залежить від порівняння відбитка, наданого сервером, з очікуваним відбитком відкритого ключа сервера.
DNS запис типу SSHFP (RFC 4255 ⧉) дає SSH-клієнтам новий спосіб автентифікації: порівняння відбитка, наданого сервером, з відбитком, збереженим у DNS-зоні домену. Під час порівняння мають збігатися всі параметри SSHFP запису – алгоритми, використані для генерації ключа та його відбитка, а також сам відбиток ключа.
Використання DNS SSHFP має сенс лише тоді, коли цей запис підписано технологією DNSSEC і його, відповідно, неможливо підробити.
Формат запису SSHFP
Запис SSHFP складається з трьох частин: номера алгоритму, використаного для генерації ключа, номера алгоритму для генерації відбитка та самого відбитка відкритого ключа сервера.
Запис типу TLSA
DNS запис типу TLSA (RFC 6698 ⧉) визначає сертифікат служби для комбінації даних – FQDN, протокол і порт. За допомогою TLSA запису можна перевірити, чи не було змінено сертифікат на шляху між одержувачем і відправником.
Формат запису TLSA
Запис типу TLSA має специфічний вигляд як імені, так і даних. Символічне ім’я SRV запису зазвичай має вигляд _port._protocol, напр. _443._tcp.
Самі дані запису TLSA містять три параметри, а далі бінарні дані для асоціації сертифіката: номер призначення сертифіката доменному імені, номер селектора, номер типу порівняння сертифіката з ланцюжка з даними в записі TLSA і, нарешті, дані для порівняння з наданим сертифікатом.
Часті запитання
Чи обов’язково налаштовувати CAA, SSHFP та TLSA записи для домену?
Ні, більшість доменів без проблем працює і без цих записів.