強制CAA檢查的提議

2017年3月7日，CA|B Forum （一個全球證書頒發(fā)機構(gòu)與瀏覽器的技術(shù)論壇）發(fā)起了一項關(guān)于對域名強制檢查CAA的一項提議的投票，獲得187票支持，投票有效，提議通過。

提議通過后，將于2017年9月8日根據(jù)Mozilla的Gervase Markham提出的檢查CAA記錄作為基準要求來實施。

什么是CAA記錄？

CAA，全稱Certificate Authority Authorization，即證書頒發(fā)機構(gòu)授權(quán)。它為了改善PKI（Public Key Infrastructure：公鑰基礎(chǔ)設(shè)施）生態(tài)系統(tǒng)強度、減少證書意外錯誤發(fā)布的風險，通過DNS機制創(chuàng)建CAA資源記錄，從而限定了特定域名頒發(fā)的證書和CA（證書頒發(fā)機構(gòu)）之間的聯(lián)系。從此，再也不能是任意CA都可以為任意域名頒發(fā)證書了。

關(guān)于CAA記錄，其實早在4年前便在RFC 6844中有定義，但由于種種原因配置該DNS資源記錄的網(wǎng)站寥寥無幾。如今，SSL證書在頒發(fā)之前對域名強制CAA檢查，就對想要https訪問的網(wǎng)站域名提出了解析配置的要求。

CAA資源記錄詳解

CAA記錄可以控制單域名SSL證書的發(fā)行，也可以控制通配符證書。當域名存在CAA記錄時，則只允許在記錄中列出的CA頒發(fā)針對該域名（或子域名）的證書。

在域名解析配置中，咱們可以為整個域（如example.com）或者特定的子域（如subzone.example.com）設(shè)置CAA策略。當為整域設(shè)置CAA資源記錄時，該CAA策略將同時應用于該域名下的任一子域，除非被已設(shè)置的子域策略覆蓋。

CAA記錄格式

CAA記錄格式由以下元素組成：

CAA <flags> <tag> <value>

釋義：

<flags>定義為0~255無符號整型，取值：

Issuer Critical Flag：0

1~7為保留標記

<tag>定義為US-ASCII和0~9，取值：

CA授權(quán)任何類型的域名證書（Authorization Entry by Domain） : issue

CA授權(quán)通配符域名證書（Authorization Entry by Wildcard Domain） : issuewild

指定CA可報告策略違規(guī)（Report incident by IODEF report） : iodef

auth、path和policy為保留標簽

<value>定義為八位字節(jié)序列的二進制編碼字符串，一般填寫格式為：

[domain] [";" * 參數(shù)]

CAA資源記錄示例

當需要限制域名example.com及其子域名可由機構(gòu)letsencrypt頒發(fā)不限類型的證書，同時可由Comodo頒發(fā)通配符證書，其他一律禁止，并且當違反配置規(guī)則時，發(fā)送通知郵件到[email protected]。

配置如下（為便于理解，二進制Value值已經(jīng)過轉(zhuǎn)碼，下同）：

example.com.  CAA 0 issue "letsencrypt.org"example.com.  CAA 0 issuewild "comodoca.com"example.com.  CAA 0 iodef "mailto:[email protected]"

如果子域名有單獨列出證書頒發(fā)要求，例如：

example.com.  CAA 0 issue "letsencrypt.org"alpha.example.com.  CAA 0 issue "comodoca.com"

那么，因子域策略優(yōu)先，所以只有Comodo可以為域名alpha.example.com.頒發(fā)證書。