Panoramica
I record di autorizzazione dell'autorità di certificazione (CAA) consentono ai proprietari di domini di specificare quali autorità di certificazione (CA) possono emettere TLS certificati per i loro domini. La CAA impone che una CA debba esaminare i record CAA di un dominio prima dell'emissione del certificato. Durante il processo di controllo della CAA, la CA deve raggiungere un nameserver di dominio autorevole. Se non sono presenti record CAA, la CA può procedere se sono soddisfatti altri criteri di verifica. Tuttavia, se esistono record CAA, la CA può emettere un certificato solo se è esplicitamente autorizzato in uno di questi record. Questa guida descrive i comuni errori di controllo CAA, spiega perché si verificano e fornisce passaggi pratici per risolverli. Garantire una corretta configurazione CAA aiuta a proteggere il tuo dominio e protegge dall'emissione di certificati non autorizzati.Cosa sono gli errori di controllo CAA?
Quando un controllo CAA fallisce, significa che ci sono problemi con i record CAA o con le impostazioni DNS correlate per il tuo dominio che impediscono a SSL.com di emettere un certificato. Ci sono tre categorie principali di fallimenti del controllo CAA:- Negato: Errori correlati a record CAA espliciti che limitano il rilascio di certificati.
- DNSSEC: Problemi derivanti dalle configurazioni e dalle risposte DNSSEC.
- Sicurezza : Errori dovuti a potenziali vulnerabilità di sicurezza, come XSS.
Motivi dei fallimenti del controllo CAA
Nega i test
- Tag problema vuoto: empty.basic.domainname.com – Fallisce se il record CAA è 0 emette “;”, indicando che non è consentita alcuna CA.
- Negazione esplicita: Si verifica se il record CAA non consente esplicitamente l'emissione per issue o issuewild. Se è presente un record CAA, deve includere issue "ssl.com" o issuewild "ssl.com".
- Distinzione tra maiuscole e minuscole nel tag Issue: I tag di errore con lettere maiuscole (uppercase-deny.basic.domainname.com) o miste (mixedcase-deny.basic.domainname.com) determinano un errore.
- Grande set di dischi: big.basic.domainname.com – Non riesce se è presente un numero eccessivo di record CAA (ad esempio, 1001).
- Proprietà critiche sconosciute: critical1.basic.domainname.com e critical2.basic.domainname.com – Fallisce se sono presenti proprietà non riconosciute contrassegnate come critiche.
- Arrampicata sugli alberi: Fallisce quando i record CAA a livello padre (sub1.deny.basic.domainname.com) o padre (sub2.sub1.deny.basic.domainname.com) limitano l'emissione.
- Catene CNAME: Fallisce se sono presenti restrizioni CAA nei target CNAME in una catena di CNAME, come cname-deny.basic.domainname.com, cname-cname-deny.basic.domainname.com e sub1.cname-deny.basic.domainname.com. Il comportamento attuale per i record CAA con CNAME è che se si richiede un certificato per a.dominio.com ed è un record cname per sub.sub.unaltrodominio.com quindi il controllo CAA controllerà anche fino al dominio radice di un altrodominio.com per un record CAA.
- Negare a causa del genitore permissivo: deny.permit.basic.domainname.com – Fallisce se il figlio è soggetto a restrizioni anche quando il genitore ne consente l'emissione.
- Server solo IPv6: ipv6only.domainname.com – Fallisce se il record CAA è accessibile solo tramite IPv6 e la CA non riesce a elaborarlo.
Errori DNSSEC
- Firme DNSSEC scadute: expired.domainname-dnssec.com – Fallisce se le firme DNSSEC sono scadute.
- Firme DNSSEC mancanti: missing.domainname-dnssec.com – Fallisce se le firme DNSSEC sono assenti.
- Server DNS non responsivo: blackhole.domainname-dnssec.com – Fallisce se una catena di convalida DNSSEC porta a un server che non risponde.
- Risposta SERVFAIL: servfail.domainname-dnssec.com – Fallisce se il server DNS risponde con SERVFAIL.
- Risposta RIFIUTATA: rejected.domainname-dnssec.com – Fallisce se il server DNS risponde con REFUSED.
Controlli di sicurezza
- Vulnerabilità XSS: xss.domainname.com – Fallisce se la proprietà issue contiene HTML o JavaScript, testando le vulnerabilità XSS.
Test speciali e informativi
Questi test sono rilevanti in scenari specifici, come i controlli automatici SAN (Subject Alternative Name) o determinati scenari di aliasing DNS. Questa suite garantisce che le CA siano conformi ai requisiti di base, in particolare non rilasciando certificati laddove si applichino restrizioni CAA.Come risolvere i fallimenti del controllo CAA
Utilizzare questi passaggi e strumenti per risolvere i problemi di controllo CAA:- Esaminare i record CAA: Conferma che i tuoi record CAA consentono esplicitamente l'autorità di certificazione come emittente:
- problema “ssl.com” per il dominio
- issuewild “ssl.com” per i certificati jolly
- Utilizzare il comando dig: Questo è uno strumento di rete versatile utilizzato per interagire con i server dei nomi DNS. Esegue query DNS e presenta le risposte dai server interrogati, rendendolo uno strumento prezioso per la diagnosi e la risoluzione di problemi correlati al DNS. ad esempio: dig @1.1.1.1 domain.com CAA. dovrebbe mostrare stato:NESSUNERRORE
- Utilizzo del comando dig per i sottodomini: Per risolvere i fallimenti del controllo CAA per sottodomini come sub2.sub1.example.com utilizzando dig comando, assicurati quanto segue: Il dig Il comando CAA deve restituire DOMINIO NX or NESSUN ERRORE se non esiste alcun record CAA, e questo dovrebbe essere verificato per ogni livello della gerarchia di dominio, iniziando con il nome di dominio completo (FQDN) sub2.sub1.example.com, quindi salendo a sub1.example.com e infine al dominio di primo livello example.com. Il processo di verifica continuerà fino al dominio di primo livello finché non troverà un record CAA.
Nota: il comportamento attuale per i record CAA con CNAME è che se si richiede un certificato per a.dominio.com ed è un record cname per sub.sub.unaltrodominio.com quindi il controllo CAA controllerà anche fino al dominio radice di un altrodominio.com per un record CAA.
- Utilizzo del comando dig per i sottodomini: Per risolvere i fallimenti del controllo CAA per sottodomini come sub2.sub1.example.com utilizzando dig comando, assicurati quanto segue: Il dig Il comando CAA deve restituire DOMINIO NX or NESSUN ERRORE se non esiste alcun record CAA, e questo dovrebbe essere verificato per ogni livello della gerarchia di dominio, iniziando con il nome di dominio completo (FQDN) sub2.sub1.example.com, quindi salendo a sub1.example.com e infine al dominio di primo livello example.com. Il processo di verifica continuerà fino al dominio di primo livello finché non troverà un record CAA.
- Utilizzare Oracle strumento di approfondimento: sv è progettato per risolvere i problemi delle query DNS e convalidare le risposte tramite DNSSEC, imitando il comportamento di un server DNS configurato per la convalida e l'inoltro. Invia query a un server specificato, comprese quelle per i record DNSKEY e DS, per stabilire catene di trust senza eseguire una risoluzione iterativa. Lo strumento fornisce varie opzioni di query, come la registrazione dei fetch del resolver (
+[no]rtrace), dettagli della risposta (+[no]mtrace), e processi di convalida (+[no]vtrace). - Controllare le impostazioni DNSSEC: Strumenti come DNSViz or Analizzatore DNSSEC Verisign può aiutarti a convalidare la configurazione DNSSEC.
- Consulta il tuo fornitore DNS: In caso di errori correlati a DNSSEC, il tuo provider DNS può aiutarti a risolvere i problemi di configurazione o le firme DNSSEC.
Riferimenti aggiuntivi
Per uno sguardo pratico a questi scenari, visita https://caatestsuite.com/.Guide SSL.com correlate
Devi configurare CAA per autorizzare SSL.com a emettere certificati per il tuo dominio? Allora, per favore rivedi questo articolo.
