CAA

Certificate Authority Authorization (CAA)

Certificate Authority Authorization (CAA) är en DNS-posttyp som tillåter domänägare att specificera vilka certifikatutfärdare (Certificate Authorities, CAs) som har tillåtelse att utfärda certifikat för deras domän. Det är en viktig säkerhetsåtgärd för att skydda mot obehörig utfärdande av digitala certifikat.

Funktionsprincip

Definiera Tillåtna CAs:

En CAA-post i DNS-inställningarna innehåller information om vilka CAs som är tillåtna att utfärda certifikat för domänen.

Kontrollprocess:

När en CA mottar en förfrågan om att utfärda ett certifikat för en domän, måste den först kontrollera om det finns några CAA-poster för den domänen och följa de angivna restriktionerna.

Specifika Instruktioner:

CAA-poster kan innehålla specifika instruktioner, som att begränsa utfärdande till endast vissa typer av certifikat eller ange en kontaktväg för att rapportera obehöriga utfärdningsförsök.

CAA-post Format

En CAA-post består av flera delar:

- Flagga (0 eller 128): Anger hur strikt CAA-policyn ska tillämpas. - Tagg: Specificerar typen av direktiv (exempelvis "issue", "issuewild", "iodef"). - Värde: Anger vilken CA som tillåts eller kontaktvägen för rapportering.

Exempel på CAA-poster

• `0 issue "letsencrypt.org"`: Endast Let's Encrypt är tillåtet att utfärda certifikat.
• `0 issuewild "comodo.com"`: Endast Comodo är tillåtet att utfärda wildcard-certifikat.
• `0 iodef "mailto:security@example.com"`: Rapporter om obehöriga försök ska skickas till angiven e-postadress.

Fördelar med CAA

• Ökad Säkerhet: Förhindrar utfärdande av obehöriga certifikat, skyddar mot vissa typer av cyberattacker.
• Kontroll: Ger domänägare större kontroll över vilka CAs som kan utfärda certifikat för deras domän.
• Flexibilitet: CAA-poster är kompatibla med befintlig DNS-infrastruktur och kan anpassas efter behov.

Viktigt att Notera

• Ej Universellt Obligatoriskt: Inte alla CAs är skyldiga att följa CAA-poster.
• Underhåll: Korrekt underhåll av CAA-poster är avgörande för att de ska återspegla den aktuella säkerhetspolicyn.