CAA-Einträge erklärt: Definition der Zertifizierungsstellen, die für Ihre Domain ausstellen können

In der Welt der Public-Key-Infrastruktur (PKI) ist Vertrauen von höchster Bedeutung. Unternehmen investieren viel Zeit und Geld in die Absicherung ihrer Domains mit SSL/TLS-Zertifikaten , doch viele vernachlässigen die Frage, wer diese Zertifikate tatsächlich ausstellen darf. Diese Lücke kann schwerwiegende Probleme verursachen. CAA-Einträge sind ein einfaches DNS-Werkzeug, mit dem Domaininhaber klar festlegen können, welche Zertifizierungsstellen Zertifikate für ihre Domain ausstellen dürfen.

Falls Ihr Sicherheitsprogramm noch keine DNS-CAA-Einträge verwendet, erklärt Ihnen dieser Leitfaden, was sie sind, wie sie funktionieren und warum jede Organisation sie verwenden sollte.

Was ist ein CAA-Datensatz?

Ein CAA-Eintrag (Certification Authority Authorization) ist ein DNS-Ressourceneintrag, der gemäß RFC 6844 standardisiert und durch RFC 8659 aktualisiert wurde. Er teilt der Welt mit, welche Zertifizierungsstellen (CAs) berechtigt sind, SSL/TLS-Zertifikate für Ihre Domain oder Subdomain auszustellen. Man kann ihn sich als einfache Regel in Ihrem DNS vorstellen, die jede CA anweist, die Berechtigung zu prüfen, bevor sie ein Zertifikat ausstellt.

Ein typischer CAA-Datensatz sieht folgendermaßen aus:

Dieser Eintrag signalisiert allen Zertifizierungsstellen (CAs): Nur Let's Encrypt darf Zertifikate für example.com ausstellen. Jede andere CA, die eine Zertifikatsanfrage für diese Domain erhält, ist gemäß den CA/Browser Forum Baseline Requirements verpflichtet, die CAA-Einträge zu prüfen und die Regeln zu befolgen oder die Ausstellung zu verweigern. CAA-Einträge folgen der DNS-Hierarchie. Verfügt eine Subdomain nicht über einen eigenen CAA-Eintrag, prüft die CA die Regeln der übergeordneten Domain und wendet diese stattdessen an. Dies vereinfacht die Richtlinienverwaltung für eine große Anzahl von Domains.

Wie CAA-Aufzeichnungen autorisierte Zertifizierungsstellen definieren

CAA-Einträge verknüpfen spezifische Zertifizierungsstellen-Kennungen (CA-Kennungen) mit Ihrer Domain im DNS. Erhält eine Zertifizierungsstelle eine Zertifikatsanfrage, prüft sie die CAA-Einträge für diese Domain. Existiert ein CAA-Eintrag, die Zertifizierungsstelle ist aber nicht aufgeführt, muss die Anfrage abgelehnt werden. Existiert gar kein CAA-Eintrag, kann jede Zertifizierungsstelle Zertifikate für Ihre Domain ausstellen – genau diese Sicherheitslücke müssen Sicherheitsteams schließen.

Sie können in Ihren CAA-Einträgen mehrere Zertifizierungsstellen (CAs) auflisten. Dies ist nützlich für Organisationen, die verschiedene CAs für unterschiedliche Zwecke verwenden, beispielsweise eine öffentliche CA für Kundendienste und eine private CA für interne Systeme. Jede autorisierte CA erhält einen eigenen CAA-Eintrag, und die CA muss mit mindestens einem Eintrag übereinstimmen, damit die Zertifikatsausstellung fortgesetzt werden kann.

Das Problem verstehen: issuewild und iodef Tags

Die CAA-Datensätze verwenden drei Hauptmerkmale, um die Zertifikatsausstellung zu steuern. Jedes Merkmal hat eine andere Funktion, und das Verständnis aller drei ist wichtig für die korrekte Einrichtung Ihrer Datensätze.

Issue: Dieses Tag gibt an, welche Zertifizierungsstelle (CA) berechtigt ist, Standardzertifikate für Ihre Domain auszustellen. Beispielsweise erteilt „ 0 issue „digicert.com“ DigiCert die Berechtigung, Zertifikate für diese Domain auszustellen.

Issuewild: Dieses Tag steuert, welche Zertifizierungsstellen Wildcard-Zertifikate wie z. B. *.example.com ausstellen dürfen . Es ist vom Issue-Tag getrennt, sodass Sie je nach Ihren Sicherheitsanforderungen eine offenere Richtlinie für Standardzertifikate und eine strengere für Wildcard-Zertifikate festlegen können.

Iodef: Dieses Tag teilt Zertifizierungsstellen mit, wohin sie einen Bericht senden sollen, wenn sie eine Zertifikatsanfrage erhalten, die gegen Ihre Richtlinien verstößt. Sie können es auf eine E-Mail-Adresse oder eine URL verweisen lassen, zum Beispiel so:

0 iodef "mailto:[email protected]"

Wichtig: Wenn Sie nur ein Issuewild-Tag ohne Issue-Tag festlegen, kann jede Zertifizierungsstelle weiterhin Standardzertifikate für Ihre Domain ausstellen. Die beiden Tags sind unabhängig voneinander. Konfigurieren Sie daher immer beide, um sicherzustellen, dass Ihre Richtlinie vollständig ist.

Warum CAA-Einträge für die Domänensicherheit unerlässlich sind

Die unbefugte Ausstellung von Zertifikaten stellt ein ernstzunehmendes Problem dar. Ob durch Social Engineering, einen Fehler der Zertifizierungsstelle oder ein kompromittiertes System – es wurden bereits fälschlicherweise Zertifikate für bekannte Domains ausgestellt. In solchen Fällen können Angreifer verschlüsselten Datenverkehr abfangen, Man-in-the-Middle-Angriffe durchführen oder sich als legitime Dienste ausgeben.

CAA-Einträge schützen nicht vor jedem Angriff, da sie auf deren Überprüfung und Einhaltung durch Zertifizierungsstellen (CAs) beruhen. Die Einhaltung dieser Vorgaben wird vom CA/Browser Forum geregelt. Seit September 2017 sind jedoch alle öffentlich vertrauenswürdigen CAs gemäß den Baseline Requirements des CA/Browser Forums verpflichtet, CAA-Einträge vor der Zertifikatserteilung zu überprüfen. Eine CA, die dies ignoriert, riskiert den Verlust ihres Vertrauensstatus, was schwerwiegende Folgen hat.

CAA-Einträge unterstützen auch die Einhaltung gesetzlicher Bestimmungen. Im Rahmen von Frameworks wie SOC 2, ISO 27001 und PCI DSS ist der Nachweis, dass Sie die Zertifizierungsstellen kontrollieren, die Zertifikate für Ihre Domain ausstellen, eine solide und dokumentierbare Sicherheitsmaßnahme. Dies erleichtert Audits und belegt, dass Ihr Unternehmen die Domain-Sicherheit ordnungsgemäß verwaltet.

Wie Zertifizierungsstellen CAA-Einträge validieren

Wenn eine Zertifizierungsstelle (CA) eine Zertifikatsanfrage erhält, führt sie eine DNS-Abfrage nach CAA-Einträgen für den vollqualifizierten Domänennamen (FQDN) der Anfrage durch. Werden Einträge gefunden und die CA ist nicht aufgeführt, verweigert sie die Ausstellung. Schlägt die DNS-Abfrage aufgrund eines SERVFAIL-Fehlers, eines Timeouts oder einer Fehlkonfiguration fehl, muss die CA die Anfrage ebenfalls ablehnen. Dieser ausfallsichere Ansatz stellt sicher, dass eine fehlerhafte Konfiguration Sie schützt, anstatt Sie angreifbar zu machen.

DNSSEC bietet hier eine zusätzliche Schutzebene. Ohne DNSSEC können CAA-Einträge durch DNS-Cache-Poisoning gefälscht werden. Dabei fügt ein Angreifer falsche Einträge ein, die es der von ihm gewählten Zertifizierungsstelle ermöglichen, ein Zertifikat auszustellen. Wenn Ihre DNS-Zonen mit DNSSEC signiert sind, sind die Genauigkeit und Integrität Ihrer CAA-Einträge auf kryptografischer Ebene gewährleistet.

Existiert kein CAA-Eintrag für einen bestimmten FQDN, durchsucht die Zertifizierungsstelle den DNS-Baum bis zur übergeordneten Domäne und dann zur Großelterndomäne, bis sie einen passenden Eintrag findet. Das bedeutet, dass ein einziger CAA-Eintrag in Ihrer Stammdomäne Ihren gesamten Domänennamensraum abdecken kann – eine sehr effiziente Methode zur Durchsetzung von Richtlinien in großem Umfang.

Bewährte Verfahren für die Konfiguration und Verwaltung von CAA-Datensätzen

Das Anlegen von CAA-Datensätzen ist unkompliziert, erfordert aber etwas Planung, um es optimal umzusetzen. Hier sind die wichtigsten Vorgehensweisen:

• Prüfen Sie zunächst Ihr Zertifikatsinventar: Bevor Sie CAA-Einträge hinzufügen, ermitteln Sie, welche Zertifizierungsstellen (CAs) bereits Zertifikate für Ihre Domains ausstellen. Tools wie crt.sh können Ihnen dabei helfen. Wenn Sie die Zertifikatsausstellung auf eine CA beschränken, die Sie tatsächlich nicht verwenden, schlagen Zertifikatserneuerungen fehl.
• Setzen Sie sowohl die Issue- als auch die Issuewild-Tags explizit: Gehen Sie nicht davon aus, dass das eine das andere abdeckt. Stellen Sie sicher, dass Sie genau wissen, welche Zertifizierungsstellen Standard- und Wildcard-Zertifikate ausstellen dürfen, und dokumentieren Sie, warum jede Zertifizierungsstelle autorisiert ist.
• Füge ein iodef-Tag hinzu und überwache es auch tatsächlich: Berichte sind nur dann hilfreich, wenn sie auch gelesen werden. Verbinden Sie Ihren iodef-Endpunkt mit dem Ticketsystem oder SIEM Ihres Sicherheitsteams und nehmen Sie alle Warnmeldungen zu Sicherheitsverletzungen ernst.
• Verwenden Sie CAA-Einträge zusammen mit DNSSEC: DNSSEC stellt sicher, dass Ihre CAA-Richtlinie auf DNS-Ebene nicht gefälscht werden kann. Wenn Ihre Zonen noch nicht DNSSEC-signiert sind, ist dies ein guter Grund, damit zu beginnen.
• Prüfen Sie Ihre CAA-Aufzeichnungen nach der Veröffentlichung: Verwenden Sie Tools wie dig, den SSLMate CAA Record Generator oder die MX Toolbox, um zu überprüfen, ob Ihre Datensätze von mehreren Standorten aus korrekt aufgelöst werden.
• Aktualisieren Sie die CAA-Einträge immer dann, wenn sich Ihre CA-Beziehungen ändern: Bei jedem Wechsel der Zertifizierungsstelle, jedem neuen Vertragspartner oder jeder Fusion sollten Sie Ihre CAA-Einträge entsprechend aktualisieren. Veraltete Einträge können genauso riskant sein wie fehlende.

Wie Verschlüsselungsberatung helfen kann

Die korrekte Einrichtung von CAA-Einträgen beginnt damit, genau zu wissen, welche Zertifizierungsstellen bereits Zertifikate für Ihre Domains ausstellen. Ohne diese Übersicht riskieren Sie, eine Zertifizierungsstelle, die aktiv Zertifikate erneuert, auszusperren, was zu Ausfällen führt, sobald eine Erneuerung fehlschlägt. Genau bei dieser Überprüfung scheitern die meisten Unternehmen, und genau hier bietet CertSecure Manager den entscheidenden Vorteil.

CertSecure Manager ist die Plattform für das Zertifikatslebenszyklusmanagement von Encryption Consulting. Sie bietet Ihrem Team ein vollständiges, stets aktuelles Verzeichnis aller SSL/TLS-Zertifikate in Ihrer Umgebung, einschließlich der ausstellenden Zertifizierungsstelle (CA), des Ablaufdatums und des Einsatzortes. Diese Transparenz ist unerlässlich, bevor Sie auch nur einen einzigen CAA-Eintrag erstellen.

So geht CertSecure Manager mit diesen Herausforderungen um:

Zertifikatserkennung und -inventarisierung: Unser CertSecure Manager scannt Ihre Netzwerk- und Cloud-Umgebungen, um jedes verwendete Zertifikat zu ermitteln, unabhängig von der ausstellenden Zertifizierungsstelle. Bevor Sie die Ausstellung über CAA-Einträge einschränken, müssen Sie wissen, welche Zertifikate bereits vorhanden sind. Dieser Schritt erfolgt automatisch.

CA-Beziehungsverfolgung: Da Ihre CAA-Richtlinie nur so genau ist wie Ihr Wissen darüber, welche CAs Sie tatsächlich verwenden, hält CertSecure Manager Ihr Zertifikatsinventar auf dem neuesten Stand, sodass Ihre CAA-Aufzeichnungen der Realität entsprechen, selbst wenn Ihre Umgebung wächst oder sich Ihre CA-Beziehungen ändern.

Automatisierte Zertifikatserneuerung: Sobald Ihre CAA-Einträge eingerichtet sind, schlägt jede Zertifikatserneuerung, die an eine nicht autorisierte Zertifizierungsstelle gerichtet wird, fehl. CertSecure Manager automatisiert die Erneuerungen über Ihre autorisierten Zertifizierungsstellen, sodass es keine Überraschungen in letzter Minute gibt, wenn ein Zertifikat abläuft.

Audit-Trail für Compliance: Für Frameworks wie SOC 2, ISO 27001 und PCI DSS ist der Nachweis der Kontrolle über die Zertifikatsausstellung eine dokumentierbare Sicherheitsmaßnahme. CertSecure Manager protokolliert jedes Zertifikatsereignis und liefert Ihrem Compliance-Team so die benötigten Nachweise.

CAA-Einträge liefern Ihnen Richtlinien. CertSecure Manager bietet Ihnen die Transparenz und Automatisierung, um diese Richtlinien in Ihrer gesamten Zertifikatsumgebung konsistent anzuwenden.

Fazit

CAA-Einträge werden leicht übersehen, da sie unauffällig im Hintergrund arbeiten. Ihr Weglassen führt jedoch zu einer echten Sicherheitslücke. Da die missbräuchliche Ausstellung von Zertifikaten im Internet weiterhin ein Risiko darstellt, müssen Domaininhaber die Kontrolle darüber übernehmen, wer in ihrem Namen Zertifikate ausstellen darf. CAA-Einträge ermöglichen diese Kontrolle auf einfache und standardisierte Weise.

Wenn CAA-Einträge korrekt eingerichtet und mit DNSSEC, einem überwachten iodef-Endpunkt und einem soliden Zertifikatsverwaltungsprozess kombiniert werden, werden sie zu einem wichtigen Bestandteil Ihrer PKI-Strategie. Ihre Implementierung ist unkompliziert, sie müssen jedoch bei Änderungen Ihrer Umgebung stets aktualisiert werden.