Κατανόηση των αποτυχιών ελέγχου CAA και πώς να τις επιλύσετε

Επισκόπηση

Τι είναι οι αποτυχίες ελέγχου CAA;

• Αρνήθηκε: Αποτυχίες που σχετίζονται με ρητές εγγραφές CAA που περιορίζουν την έκδοση πιστοποιητικού.
• DNSSEC: Ζητήματα που προκύπτουν από τις διαμορφώσεις και τις απαντήσεις του DNSSEC.
• Ασφάλεια: Αποτυχίες που οφείλονται σε πιθανές ευπάθειες ασφαλείας, όπως το XSS.

Λόγοι για αποτυχίες ελέγχου CAA

Deny Tests

1. Κενή ετικέτα προβλήματος: vala.basic.domainname.com – Αποτυγχάνει εάν η εγγραφή CAA είναι 0 θέμα ";", υποδεικνύοντας ότι δεν επιτρέπεται CA.
2. Ρητή άρνηση: Εμφανίζεται εάν το αρχείο CAA δεν επιτρέπει ρητά την έκδοση για έκδοση ή έκδοση wild. Εάν υπάρχει μια εγγραφή CAA, πρέπει να περιλαμβάνει είτε το ζήτημα "ssl.com" είτε το issuewild "ssl.com".
3. Ευαισθησία πεζών-κεφαλαίων στην ετικέτα προβλήματος: Οι ετικέτες ζητήματος κεφαλαίων (κεφαλαία-deny.basic.domainname.com) ή μικτές (mixedcase-deny.basic.domainname.com) οδηγούν σε αποτυχία.
4. Μεγάλο σετ ρεκόρ: big.basic.domainname.com – Αποτυγχάνει εάν υπάρχει υπερβολικός αριθμός εγγραφών CAA (π.χ. 1001).
5. Άγνωστες κρίσιμες ιδιότητες: kritikal1.basic.domainname.com και kritikal2.basic.domainname.com – Αποτυγχάνει εάν υπάρχουν μη αναγνωρισμένες ιδιότητες που έχουν επισημανθεί ως κρίσιμες.
6. Αναρρίχηση σε δέντρα: Αποτυγχάνει όταν οι εγγραφές CAA σε επίπεδο γονικού (sub1.deny.basic.domainname.com) ή παππού (sub2.sub1.deny.basic.domainname.com) περιορίζουν την έκδοση.
7. Αλυσίδες CNAME: Αποτυγχάνει εάν υπάρχουν περιορισμοί CAA σε στόχους CNAME σε μια αλυσίδα CNAME, όπως τα cname-deny.basic.domainname.com, cname-cname-deny.basic.domainname.com και sub1.cname-deny.basic.domainname.com . Η τρέχουσα συμπεριφορά για τις εγγραφές CAA με CNAME είναι αυτή εάν ζητήσετε ένα πιστοποιητικό  a.domain.com και είναι ένα ρεκόρ cname για sub.sub.anotherdomain.com τότε ο έλεγχος CAA θα ελέγξει επίσης μέχρι τον τομέα root του otherdomain.com για ρεκόρ ΥΠΑ.
8. Deny over Permissive Parent: deny.permit.basic.domainname.com – Αποτυγχάνει εάν το παιδί έχει περιοριστεί ακόμη και όταν ο γονέας επιτρέπει την έκδοση.
9. Διακομιστές μόνο για IPv6: ipv6only.domainname.com – Αποτυγχάνει εάν η εγγραφή CAA είναι προσβάσιμη μόνο μέσω IPv6 και η CA δεν μπορεί να την επεξεργαστεί.

Αποτυχίες DNSSEC

1. Υπογραφές DNSSEC που έχουν λήξει: expired.domainname-dnssec.com – Αποτυγχάνει εάν οι υπογραφές DNSSEC έχουν λήξει.
2. Λείπουν υπογραφές DNSSEC: missing.domainname-dnssec.com – Αποτυγχάνει εάν απουσιάζουν οι υπογραφές DNSSEC.
3. Διακομιστής DNS που δεν αποκρίνεται: blackhole.domainname-dnssec.com – Αποτυγχάνει εάν μια αλυσίδα επικύρωσης DNSSEC οδηγεί σε διακομιστή που δεν αποκρίνεται.
4. SERVFAIL Απάντηση: servfail.domainname-dnssec.com – Αποτυγχάνει εάν ο διακομιστής DNS αποκριθεί με SERVFAIL.
5. ΑΡΝΗΜΕΝΗ Απάντηση: reded.domainname-dnssec.com – Αποτυγχάνει εάν ο διακομιστής DNS απαντήσει με ΑΠΟΡΡΙΨΗ.

Έλεγχοι ασφαλείας

1. Ευπάθεια XSS: xss.domainname.com – Αποτυγχάνει εάν η ιδιότητα ζητήματος περιέχει HTML ή JavaScript, δοκιμάζοντας τα τρωτά σημεία XSS.

Ειδικά και Πληροφοριακά Τεστ

Πώς να επιλύσετε αποτυχίες ελέγχου CAA

1. Ελέγξτε τα αρχεία της ΥΠΑ: Επιβεβαιώστε ότι τα αρχεία CAA επιτρέπουν ρητά στην Αρχή έκδοσης πιστοποιητικών ως εκδότη:  
   1. έκδοση "ssl.com" για τον τομέα 
   2. issuewild “ssl.com” για πιστοποιητικά μπαλαντέρ
2. Χρησιμοποιήστε την εντολή dig: Αυτό είναι ένα ευέλικτο εργαλείο δικτύωσης που χρησιμοποιείται για την αλληλεπίδραση με διακομιστές ονομάτων DNS. Διεξάγει ερωτήματα DNS και παρουσιάζει τις απαντήσεις από τους διακομιστές που ζητά, καθιστώντας το ένα ανεκτίμητο εργαλείο για τη διάγνωση και την επίλυση προβλημάτων που σχετίζονται με το DNS. για παράδειγμα: dig @1.1.1.1 domain.com CAA. θα πρέπει να δείχνει κατάσταση: ΚΑΘΟΛΟΥ ΣΦΑΛΜΑ
   1. Χρησιμοποιώντας την εντολή dig για υποτομείς: Για την επίλυση αποτυχιών ελέγχου CAA για υποτομείς όπως το sub2.sub1.example.com χρησιμοποιώντας το σκάβω εντολή, βεβαιωθείτε ότι: Το σκάβω Η εντολή CAA πρέπει να επιστρέψει NXDOMAIN or ΚΑΘΟΛΟΥ ΣΦΑΛΜΑ εάν δεν υπάρχει εγγραφή CAA και αυτό θα πρέπει να επαληθευτεί για κάθε επίπεδο της ιεραρχίας τομέα—αρχίζοντας με το πλήρες όνομα τομέα (FQDN) sub2.sub1.example.com, μετά μεταβαίνοντας στο sub1.example.com και τέλος στο τομέα ανωτάτου επιπέδου example.com. Η διαδικασία επαλήθευσης θα συνεχίσει να ανεβαίνει στον τομέα ανώτατου επιπέδου μέχρι να βρει μια εγγραφή CAA.
      
      Σημείωση: Η τρέχουσα συμπεριφορά για τις εγγραφές CAA με CNAME είναι αυτή εάν ζητήσετε ένα πιστοποιητικό  a.domain.com και είναι ένα ρεκόρ cname για sub.sub.anotherdomain.com τότε ο έλεγχος CAA θα ελέγξει επίσης μέχρι τον τομέα root του otherdomain.com για ρεκόρ ΥΠΑ.
3. Χρησιμοποιήστε το Oracle εργαλείο delv: Δελφ έχει σχεδιαστεί για την αντιμετώπιση προβλημάτων ερωτημάτων DNS και την επικύρωση των απαντήσεων χρησιμοποιώντας το DNSSEC, μιμούμενο τη συμπεριφορά ενός διακομιστή DNS που έχει διαμορφωθεί για επικύρωση και προώθηση. Στέλνει ερωτήματα σε έναν καθορισμένο διακομιστή, συμπεριλαμβανομένων εκείνων για εγγραφές DNSKEY και DS, για τη δημιουργία αλυσίδων εμπιστοσύνης χωρίς την εκτέλεση επαναληπτικής ανάλυσης. Το εργαλείο παρέχει διάφορες επιλογές ερωτημάτων, όπως ανακτήσεις προγράμματος επίλυσης καταγραφής (+[no]rtrace), λεπτομέρειες απάντησης (+[no]mtrace), και διαδικασίες επικύρωσης (+[no]vtrace).
4. Ελέγξτε τις ρυθμίσεις DNSSEC: Εργαλεία όπως DNSViz or Verisign DNSSEC Analyzer μπορεί να βοηθήσει στην επικύρωση της ρύθμισης του DNSSEC.
5. Συμβουλευτείτε τον πάροχο DNS σας: Για αποτυχίες που σχετίζονται με το DNSSEC, ο πάροχος DNS μπορεί να σας βοηθήσει με την επίλυση προβλημάτων υπογραφών ή διαμόρφωσης DNSSEC.

Πρόσθετες αναφορές 

Σχετικοί οδηγοί SSL.com

• Εισαγωγή στην Εξουσιοδότηση Αρχής Πιστοποίησης (CAA)
• Ποιες είναι οι απαιτήσεις για SSL.com SSL /TLS Επικύρωση τομέα πιστοποιητικού;
• Ποια είναι η "Μοναδική αξία" που χρησιμοποιείται στην επικύρωση τομέα (DV);
• Όνομα τομέα SSL /TLS Προ-επικύρωση