CAA kayıtları nedir, nasıl çalışır

CAA ne işe yarar

Genel güvene sahip çok sayıda sertifika otoritesi vardır ve tarayıcılar bunların herhangi birinden gelen sertifikaya aynı ölçüde güvenir. Her otorite, sertifika isteyen kişinin domaini kontrol ettiğini kendi yöntemiyle denetler. Bu denetimlerden herhangi biri kandırılabilirse, örneğin ele geçirilmiş bir DNS kaydı ya da ele geçirilmiş bir posta kutusu üzerinden, haberiniz olmadan domaininiz için sertifika düzenlenebilir.

RFC 8659'da tanımlanan Certification Authority Authorization (CAA), domain sahibinin hangi otoritelerin sertifika düzenleyebileceğini DNS'te yayınlamasını sağlar. Sektörün temel kuralları, otoritelerin sertifika düzenlemeden hemen önce CAA kaydına bakmasını ve listede değillerse reddetmesini zorunlu kılar. CAA, izin verdiğiniz otoritelerdeki doğrulamayı güçlendirmez. Geri kalan bütün otoriteleri devreden çıkarır.

Kayıt nasıl görünür

Bir CAA kaydı üç parçadan oluşur: bir bayrak (flags) sayısı, bir etiket ve bir değer. Bayrak değeri neredeyse her zaman 0'dır. Etiket, kaydın ne tür bir beyan içerdiğini söyler. Değer ise genellikle otoritenin kendini tanıttığı domain adıdır. Her otorite kullanılacak adı kendi belgelerinde yayınlar.

Bir domainin birden fazla CAA kaydı olabilir. Bu kayıtlar birlikte listeyi oluşturur. Bir otorite, ilgili etiketi taşıyan kayıtlardan herhangi birinde yer alıyorsa sertifika düzenleyebilir.

example.com.  CAA  0 issue "letsencrypt.org"
example.com.  CAA  0 issue "sectigo.com"
example.com.  CAA  0 issuewild "letsencrypt.org"
example.com.  CAA  0 iodef "mailto:security@example.com"

Üç etiket

issue etiketi, bir otoriteye o ad için sertifika düzenleme yetkisi verir. Hiç issuewild kaydı yoksa joker (wildcard) sertifikaları da kapsar.

issuewild etiketi yalnızca joker sertifikalar için geçerlidir. En az bir issuewild kaydı bulunduğunda, joker sertifika istekleri yalnızca issuewild kayıtlarına göre değerlendirilir ve issue kayıtları bu istekler için dikkate alınmaz. Böylece normal sertifikalara iki otoriteden, joker sertifikalara ise yalnızca birinden izin verebilir ya da hiçbirinden izin vermeyebilirsiniz.

iodef etiketi, politika nedeniyle reddedilen bir isteği otoritenin bildirebileceği bir adres verir. Her otorite bu tür raporlar göndermez. Bu yüzden desteklendiği yerde yararlıdır, ama tek başına bir izleme sistemi değildir.

Sertifika düzenlemeyi yasaklamak

Tek bir noktalı virgülden oluşan değer, hiçbir otoritenin yetkili olmadığı anlamına gelir. Hiçbir zaman sertifikası olmaması gereken domainlerde ve normal sertifikalara izin verirken özellikle joker sertifikaları yasaklamak için kullanılır.

; No authority may issue for this domain
parked-example.org.  CAA  0 issue ";"

; One authority for normal certificates, wildcards forbidden
example.com.  CAA  0 issue "letsencrypt.org"
example.com.  CAA  0 issuewild ";"

Otorite kaydı nasıl sorgular

Sorgu tam adda durmaz. shop.eu.example.com için sertifika istenen bir otorite önce bu adda CAA kaydı arar. Yoksa eu.example.com adına, ardından example.com adına bakar ve yukarı doğru devam eder. Herhangi bir CAA kaydı bulunan ilk ad sonucu belirler ve arama orada biter.

Bundan iki sonuç çıkar. Ana domaindeki bir kayıt, kendi kaydı olmayan bütün alt domainleri kapsar. Yani tek bir kayıt bütün domaini korur. Ayrıca bir alt domain, yalnızca kendi kayıtlarını yayınlayarak farklı bir politikaya sahip olabilir. Bu kayıtlar üst domainin kayıtlarına eklenmez, onların yerine tümüyle geçer.

Bir ad CNAME ise otorite onu izler ve hedefi de denetler. Bu nedenle bir barındırma platformunu gösteren alt domain, o platformun CAA kayıtlarına tabi olabilir.

example.com.       CAA  0 issue "sectigo.com"
shop.example.com.  CAA  0 issue "letsencrypt.org"

Hangi otoriteleri kullandığınızı bulmak

CAA kaydı eklemenin riski, bir şeyin bağımlı olduğu otoriteyi listenin dışında bırakmaktır. Yayınlamadan önce, domain için şu anda sertifika düzenleyen bütün otoriteleri bulun. Sertifikaları yalnızca siz değil, sizin adınıza çalışan servisler de ister: bir CDN, bir web sitesi oluşturucu, bir yük dengeleyici, alt domaininizde izleme bağlantıları sunan bir e-posta pazarlama platformu.

1. Sertifika şeffaflığı (certificate transparency) kayıtlarında domaini arayın ve son bir yıldaki her sertifikanın düzenleyicisini listeleyin.
2. Her ana makine adında şu anda sunulan sertifikanın düzenleyicisini okuyun.
3. Alt domainlerinizden birinde içerik sunan her barındırma, CDN ve SaaS platformunun belgelerinde hangi otoriteleri kullandığına bakın. Bazıları birden fazla otorite kullanır ve aralarında geçiş yapar.
4. Posta sunucularını, VPN ağ geçitlerini ve iç araçları yöneten kişilere sertifikalarının hangi otoriteden geldiğini sorun.

dig example.com CAA +short
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -issuer

Kaydı güvenli biçimde eklemek

Liste elinizdeyken yayınlamak kolaydır.

1. Listedeki her otorite için, o otoritenin belgelerinde verdiği tanımlayıcıyı kullanarak bir issue kaydı yazın.
2. Joker sertifikalar konusunda karar verin. Joker sertifika kullanmıyorsanız, noktalı virgül içeren bir issuewild kaydıyla bunları yasaklayın.
3. İzlenen bir adresle bir iodef kaydı ekleyin.
4. Kayıtları kurumsal domainde yayınlayın.
5. Kayıtları genel DNS'ten geri okuyun.
6. Kritik olmayan bir ana makine adında deneme yenilemesi başlatın ya da ACME istemcisinin deneme çalıştırmasını (dry run) kullanın. Böylece sertifika düzenlemenin hâlâ çalıştığını doğrularsınız.
7. Her platformda bir sonraki gerçek yenilemeyi izleyin.

CAA yenilemeleri nasıl bozar

CAA, her yenileme dahil, bir sertifika her düzenlendiğinde denetlenir. Yazıldığında doğru olan bir kayıt, çevresinde bir şey değiştiğinde hatalara yol açmaya başlar. Ekip başka bir otoriteye geçer ve kimse kaydı güncellemez. Bir barındırma platformu kullandığı otoriteyi değiştirir. Bir alt domain için kendi sertifikalarını düzenleyen yeni bir servis kullanılmaya başlanır.

Hata sessizdir. Mevcut sertifika süresi dolana kadar çalışmaya devam eder ve yenileme hatası yalnızca ACME istemcisinin günlüğünde ya da platformun panelinde görünür. Sertifika süre sonunu dışarıdan izlemenin nedenlerinden biri budur: bir CAA sorununun görünen ilk belirtisi, yenilenmemiş bir sertifikadır.

Bir DNS hatası da aynı etkiyi yaratabilir. Otorite CAA sorgusuna kesin bir yanıt alamazsa, örneğin ad sunucuları zaman aşımına uğradığı ya da DNSSEC doğrulaması başarısız olduğu için, sonucu hata saymak ve sertifika düzenlemeyi reddetmek zorundadır.

Bir hesapla ya da doğrulama yöntemiyle sınırlamak

Bir otoritenin adını vermek, doğrulamadan geçmeleri koşuluyla o otoritenin herhangi bir müşterisinin domaininiz için sertifika istemesine izin verir. RFC 8657'de tanımlanan bir uzantı, değere eklenen parametrelerle bunu daha da daraltır. accounturi parametresi sertifika düzenlemeyi otoritedeki belirli tek bir hesapla sınırlar. validationmethods parametresi ise hangi doğrulama yöntemlerinin kullanılabileceğini sınırlar.

Destek otoriteye bağlıdır. Sunulduğu yerde hesaba bağlama güçlü bir denetimdir, çünkü bir DNS kaydının ya da bir web yolunun denetimini geçici olarak ele geçiren üçüncü bir taraf yine de kendi hesabından sertifika alamaz. Öte yandan hesap bir gün değişirse güncellenmesi gereken şeylere bir yenisini ekler.

example.com.  CAA  0 issue "letsencrypt.org; accounturi=https://acme-v02.api.letsencrypt.org/acme/acct/123456; validationmethods=dns-01"

Tipik bir küçük işletme için uygulamalı örnek

Şöyle bir şirket düşünün: web sitesi, sertifikaları tek bir otoriteden düzenleyen bir barındırma platformunda duruyor. Mağazası ikinci bir otoriteyi kullanan bir SaaS platformunda çalışıyor. Şirket joker sertifika kullanmıyor. Envanterden iki otorite çıkar. Politika normal sertifikalar için ikisini de listeler, joker sertifikaları yasaklar ve raporlar için bir posta kutusu belirtir.

Mağaza platformu ileride yedek bir otorite eklediğini duyurursa, platform onu kullanmaya başlamadan önce kayda üçüncü bir issue satırı eklenmelidir. Platformun değişiklik duyurularına abone olmak, kaydın bakımının bir parçasıdır. Kaydınız güncellenmeden otorite değiştiren bir platform yenileme yapamaz ve mağazanın sertifikası normal takvimine göre sona erer.

example.com.  CAA  0 issue "letsencrypt.org"
example.com.  CAA  0 issue "pki.goog"
example.com.  CAA  0 issuewild ";"
example.com.  CAA  0 iodef "mailto:security@example.com"

CAA neyi yapmaz

CAA'yı yalnızca sertifika otoriteleri, sertifika düzenleme anında denetler. Başka kimse denetlemez. Tarayıcılar ona bakmaz. Kayıt var olmadan önce ya da kayda aykırı biçimde düzenlenmiş bir sertifika, CAA yüzünden hiçbir istemci tarafından reddedilmez. Önleyici bir denetimdir, tespit edici değil.

DNS'inizi denetleyen birine karşı da yardımcı olmaz, çünkü o kişi diğer her şeyle birlikte CAA kaydını da değiştirebilir. DNSSEC, kaydın iletim sırasında sahtesinin üretilmesini zorlaştırır. Kayıt firması güvenliği ise bölgenin kendisini korur. Beklemediğiniz sertifikaları tespit etmek için sertifika şeffaflığı kayıtlarını izleyin. CAA ile şeffaflık izlemesi sorunun farklı yarılarını kapsar.

Bir domaini kontrol etmek

Yararlı bir kontrol üç soruyu yanıtlar: bu ad için bir CAA politikası var mı, politika hangi addan geliyor ve normal sertifikalar ile joker sertifikalar için hangi otoritelere izin veriyor. CloudSpex CAA Kayıt Denetleyici, kayıtları bir otoritenin okuyacağı biçimde, üst domaine tırmanışı da dahil ederek okur ve geçerli politikayı bildirir. Sertifika istemez. Bu yüzden belirli bir otoritenin kendi hesap denetimlerinin geçeceğini doğrulayamaz.