A configuração de registros CAA no seu domínio aumenta eficazmente a segurança do site. Este tópico descreve o contexto do padrão CAA e como configurar esses registros com o Alibaba Cloud DNS.
Contexto
Centenas de autoridades certificadoras (CAs) em todo o mundo têm autorização para emitir certificados HTTPS e verificar a identidade de sites. No entanto, navegadores frequentemente incluem autoridades certificadoras em listas de bloqueios por diversos motivos e anunciam publicamente que os certificados HTTPS emitidos por elas não serão mais confiáveis. Consequentemente, ao acessar sites que utilizam esses certificados, navegadores como Google Chrome e Firefox exibem a mensagem "HTTPS certificate is not trusted". Além disso, o protocolo HTTPS na barra de endereços recebe uma marcação vermelha, o que impede o acesso à página.
A Autorização de Autoridade Certificadora (CAA) é uma medida de segurança criada para evitar a emissão incorreta de certificados HTTPS. O Internet Engineering Task Force (IETF) aprovou esse padrão em janeiro de 2013, registrando-o como RFC6844. Em março de 2017, o CA/Browser Forum aprovou a Ballot 187, que obriga as organizações de CA a realizar verificações mandatórias de CAA desde 8 de setembro de 2017.
O padrão CAA permite que proprietários de sites autorizem apenas organizações de CA específicas a emitir certificados para seus domínios, evitando assim a emissão incorreta de certificados HTTPS. O Alibaba Cloud DNS foi pioneiro no suporte ao tipo de registro CAA.
Formato do registro CAA
O formato de um registro CAA é: [flag] [tag] [value]. Ele consiste em um byte de flag [flag] e um par [tag]-[value] (tag-valor), denominado atributo. É possível adicionar vários campos CAA aos registros DNS do seu domínio.
Campo | Descrição |
flag | Número inteiro sem sinal entre 0 e 255, utilizado para marcar a autoridade de autenticação. Geralmente, define-se como 0, indicando que a informação será ignorada caso a autoridade emissora de certificados não consiga detectá-la. |
tag | Suporta issue, issuewild e iodef.
|
value | Nome de domínio da CA ou endereço de e-mail para notificações de violação. |
Adicionar registros CAA
Suponha que você deseje permitir apenas que symantec.com emita certificados para o domínio midengd.xyz e enviar notificações de violação para o e-mail admin@midengd.xyz. Configure os registros CAA conforme descrito abaixo.
Faça login no Alibaba Cloud - Public Zone e clique em Settings, na coluna Actions, correspondente à linha do domínio desejado.
-
Adicione os dois registros DNS a seguir.
Host
Record value
@
0 issue "symantec.example.com"
@
0 iodef "mailto:admin@midengd.xyz"
Verificar registros CAA
Use o comando dig domain record_type para consultar a resolução do registro CAA. O exemplo de teste e o resultado retornado estão apresentados a seguir.
sh-3.2# dig midengd.xyz caa
; <<>> DiG 9.10.5rc1 <<>> midengd.xyz caa
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 26714
;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 1
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4000
;; QUESTION SECTION:
;midengd.xyz. IN CAA
;; ANSWER SECTION:
midengd.xyz. 600 IN CAA 0 iodef "mailto:admin@midengd.xyz"
midengd.xyz. 600 IN CAA 0 issue "symantec.com"
;; Query time: 577 msec
;; SERVER: 30.26.X.X#53(30.26.X.X)
;; WHEN: Tue Dec 05 18:55:48 CST 2017
;; MSG SIZE rcvd: 114Desde abril de 2017, todas as organizações de CA devem executar detecção de CAA nos nomes de domínio dos objetos de emissão de certificados antes de emitir certificados SSL. Atualmente, provedores de service DNS como Route53, dyn e Cloudflare já suportam registros CAA, mas a taxa de adoção na China ainda não é suficientemente alta.
À medida que a conscientização social sobre segurança de rede aumenta, os registros CAA — enquanto medida para reforçar a segurança de sites — se tornarão um requisito básico de segurança de rede para setores como instituições financeiras, governo eletrônico e service públicos. Mais provedores de service DNS passarão a suportar registros CAA, e a adoção generalizada desse padrão é apenas uma questão de tempo.