CAA-records uitgelegd: bepalen welke certificeringsinstanties namens uw domein een certificaat mogen uitgeven

In de wereld van Public Key Infrastructure (PKI) is vertrouwen van het grootste belang. Organisaties besteden veel tijd en geld aan het beveiligen van hun domeinen met SSL/TLS-certificaten , maar velen staan ​​er niet bij stil wie die certificaten daadwerkelijk mag uitgeven. Die lacune kan tot ernstige problemen leiden. CAA-records zijn een eenvoudige DNS-tool waarmee domeineigenaren duidelijk kunnen bepalen welke certificeringsinstanties certificaten voor hun domein mogen uitgeven.

Als uw beveiligingsprogramma nog geen DNS CAA-records gebruikt, legt deze handleiding uit wat ze zijn, hoe ze werken en waarom elke organisatie ze zou moeten gebruiken.

Wat is een CAA-record?

Een Certification Authority Authorization (CAA) -record is een DNS-resource record, gestandaardiseerd onder RFC 6844 en bijgewerkt door RFC 8659, dat de wereld vertelt welke certificeringsinstanties (CA's) gemachtigd zijn om SSL/TLS-certificaten uit te geven voor uw domein of subdomein. U kunt het zien als een eenvoudige regel in uw DNS die elke CA vertelt om de toestemming te controleren voordat een certificaat wordt uitgegeven.

Een standaard CAA-record ziet er als volgt uit:

Dit record vertelt elke certificeringsinstantie (CA): alleen Let's Encrypt mag certificaten uitgeven voor bijvoorbeeld example.com. Elke andere CA die een certificaatverzoek voor dat domein ontvangt, is volgens de basisvereisten van het CA/Browser Forum verplicht om te controleren op CAA-records en de regels te volgen of de uitgifte te weigeren. CAA-records volgen ook de DNS-hiërarchie. Als een subdomein geen eigen CAA-record heeft, kijkt de CA naar het hoofddomein en past die regels toe, waardoor het eenvoudig is om beleid te beheren voor een groot aantal domeinen.

Hoe CAA-gegevens de geautoriseerde certificeringsinstanties definiëren.

CAA-records werken door specifieke CA-identificaties aan uw domein in DNS te koppelen. Wanneer een CA een verzoek ontvangt om een ​​certificaat uit te geven, zoekt deze de CAA-records voor dat domein op. Als er een CAA-record bestaat en de CA niet in de lijst staat, moet de CA het verzoek weigeren. Als er helemaal geen CAA-record bestaat, kan elke CA certificaten voor uw domein uitgeven, wat een open deur is die beveiligingsteams moeten dichten.

U kunt meerdere CA's in uw CAA-gegevens opnemen. Dit is handig voor organisaties die verschillende CA's voor verschillende doeleinden gebruiken, zoals een openbare CA voor klantgerichte diensten en een privé-CA voor interne systemen. Elke geautoriseerde CA krijgt een eigen CAA-vermelding en de CA moet overeenkomen met ten minste één vermelding om door te kunnen gaan met de certificaatuitgifte.

Inzicht in het probleem, issuewild en iodef Tags

CAA-gegevens gebruiken drie hoofdeigenschapstags om de uitgifte van certificaten te beheren. Elke tag heeft een andere functie, en het is belangrijk om ze alle drie te begrijpen om uw gegevens correct in te stellen.

Probleem: Deze tag geeft aan welke CA gemachtigd is om standaardcertificaten voor uw domein uit te geven. Bijvoorbeeld, 0 issue “digicert.com” geeft DigiCert toestemming om certificaten voor dat domein uit te geven.

Issuewild: Deze tag bepaalt welke certificeringsinstanties (CA's) wildcardcertificaten mogen uitgeven , zoals *.example.com . Dit staat los van de issue-tag, waardoor u een soepeler beleid kunt hanteren voor standaardcertificaten en een strenger beleid voor wildcardcertificaten, afhankelijk van uw beveiligingsbehoeften.

Iodef: Deze tag vertelt certificeringsinstanties (CA's) waar ze een melding naartoe moeten sturen als ze een certificaatverzoek ontvangen dat in strijd is met uw beleid. U kunt een e-mailadres of een URL opgeven, bijvoorbeeld zo:

0 iodef "mailto:[email protected]"

Een belangrijk aandachtspunt: als u alleen een issuewild-tag instelt zonder een issue-tag, kan elke certificeringsinstantie (CA) nog steeds standaardcertificaten voor uw domein uitgeven. De twee tags zijn onafhankelijk van elkaar, dus configureer ze altijd allebei om er zeker van te zijn dat uw beleid compleet is.

Waarom CAA-records essentieel zijn voor domeinbeveiliging

Ongeautoriseerde certificaatuitgifte is een serieus probleem. Of het nu via social engineering, een fout bij de certificeringsinstantie (CA) of een gecompromitteerd systeem gebeurt, er worden onterecht certificaten uitgegeven voor bekende domeinen. Wanneer dit gebeurt, kunnen aanvallers versleuteld verkeer onderscheppen, man-in-the-middle-aanvallen uitvoeren of zich voordoen als legitieme diensten.

CAA-records voorkomen niet elke mogelijke aanval, omdat ze afhankelijk zijn van CA's die ze controleren en naleven, en de naleving wordt geregeld door het CA/Browser Forum. Maar sinds september 2017 zijn alle publiekelijk vertrouwde CA's volgens de Baseline Requirements van het CA/Browser Forum verplicht om CAA-records te controleren voordat ze certificaten uitgeven. Een CA die dit negeert, riskeert zijn vertrouwde status te verliezen, wat ernstige gevolgen kan hebben.

CAA-gegevens ondersteunen ook de naleving van regelgeving. Binnen raamwerken zoals SOC 2, ISO 27001 en PCI DSS is het kunnen aantonen dat u bepaalt welke CA's certificaten voor uw domein uitgeven een solide, aantoonbare beveiligingsmaatregel. Het helpt bij audits en laat zien dat uw organisatie de domeinbeveiliging op de juiste manier beheert.

Hoe certificeringsinstanties CAA-gegevens valideren

Wanneer een certificeringsinstantie (CA) een certificaatverzoek ontvangt, voert deze een DNS-lookup uit naar CAA-records voor de volledig gekwalificeerde domeinnaam (FQDN) in het verzoek. Als er records worden gevonden en de CA niet in de lijst staat, weigert de CA het certificaat uit te geven. Als de DNS-query mislukt vanwege een SERVFAIL, time-out of verkeerde configuratie, moet de CA het verzoek ook weigeren. Deze fail-secure aanpak betekent dat een foutieve configuratie u beschermt in plaats van u kwetsbaar te maken.

DNSSEC biedt hier een extra beschermingslaag. Zonder DNSSEC kunnen CAA-records worden vervalst door middel van DNS-cachevergiftiging, waarbij een aanvaller valse records invoegt waardoor de door hem gekozen certificeringsinstantie een certificaat kan uitgeven. Wanneer uw DNS-zones zijn ondertekend met DNSSEC, zijn de nauwkeurigheid en integriteit van uw CAA-records gegarandeerd op cryptografisch niveau.

Als er geen CAA-record bestaat voor een specifieke FQDN, doorloopt de CA de DNS-structuur omhoog naar het bovenliggende domein, vervolgens naar het grootouderdomein, totdat er een record wordt gevonden. Dit betekent dat één enkel CAA-record op uw apexdomein uw volledige domeinnaamruimte kan bestrijken, wat een zeer efficiënte manier is om beleid op grote schaal af te dwingen.

Beste werkwijzen voor het configureren en beheren van CAA-records

Het opzetten van CAA-gegevens is eenvoudig, maar om het goed te doen, is enige planning vereist. Hieronder volgen de belangrijkste stappen:

• Controleer eerst uw certificateninventaris: Voordat u CAA-records toevoegt, moet u eerst achterhalen welke CA's al certificaten voor uw domeinen uitgeven. Tools zoals crt.sh kunnen u hierbij helpen. Als u de uitgifte beperkt tot een CA die u niet daadwerkelijk gebruikt, zullen certificaatverlengingen mislukken.
• Stel zowel de issue- als de issuewild-tag expliciet in: Ga er niet van uit dat het ene het andere uitsluit. Wees duidelijk over welke certificeringsinstanties (CA's) standaardcertificaten en wildcardcertificaten mogen uitgeven en houd bij waarom elke CA geautoriseerd is.
• Voeg een iodef-tag toe en monitor deze daadwerkelijk: Rapporten zijn alleen nuttig als ze ook daadwerkelijk gelezen worden. Koppel uw iodef-eindpunt aan het ticketsysteem of SIEM van uw beveiligingsteam en neem alle waarschuwingen over overtredingen serieus.
• Gebruik CAA-records in combinatie met DNSSEC: DNSSEC zorgt ervoor dat uw CAA-beleid niet op DNS-niveau kan worden vervalst. Als uw zones nog niet DNSSEC-ondertekend zijn, is dit een goede reden om ermee te beginnen.
• Controleer uw CAA-gegevens na publicatie: Gebruik tools zoals dig, de SSLMate CAA Record Generator of MX Toolbox om te controleren of uw records correct worden opgelost vanuit meerdere locaties.
• Werk de CAA-gegevens bij wanneer uw CA-relaties wijzigen: Telkens wanneer u van CA wisselt, een nieuwe leverancier contracteert of een fusie doormaakt, dient u uw CAA-gegevens bij te werken. Verouderde gegevens kunnen net zo riskant zijn als ontbrekende gegevens.

Hoe encryptieconsultancy kan helpen

Het correct instellen van CAA-records begint met precies weten welke certificeringsinstanties (CA's) al certificaten uitgeven voor uw domeinen. Zonder die inventarisatie loopt u het risico een CA die actief certificaten vernieuwt, buiten te sluiten, wat storingen veroorzaakt zodra een vernieuwing mislukt. Deze controle is waar de meeste organisaties vastlopen, en dat is waar CertSecure Manager het grootste verschil maakt.

CertSecure Manager is het platform voor certificaatlevenscyclusbeheer van Encryption Consulting. Het biedt uw team een ​​compleet en continu bijgewerkt overzicht van elk SSL/TLS-certificaat in uw omgeving, inclusief welke CA elk certificaat heeft uitgegeven, wanneer het verloopt en waar het is geïmplementeerd. Deze transparantie is precies wat u nodig hebt voordat u ook maar één CAA-record opstelt.

Hieronder leggen we uit hoe CertSecure Manager elk van deze uitdagingen aanpakt:

Certificaatdetectie en -inventarisatie: Onze CertSecure Manager scant uw netwerk- en cloudomgevingen om elk in gebruik zijnd certificaat te vinden, ongeacht door welke CA het is uitgegeven. Voordat u de uitgifte beperkt via CAA-records, moet u weten welke certificaten er al in omloop zijn. Deze stap wordt automatisch uitgevoerd.

Relatiebeheer met certificeringsinstanties: Omdat uw CAA-beleid slechts zo nauwkeurig is als uw kennis van de certificeringsinstanties die u daadwerkelijk gebruikt, zorgt CertSecure Manager ervoor dat uw certificaatinventaris actueel blijft, zodat uw CAA-gegevens overeenkomen met de werkelijkheid, zelfs als uw omgeving groeit of uw relaties met certificeringsinstanties veranderen.

Automatisering van certificaatvernieuwing: Zodra uw CAA-gegevens correct zijn ingesteld, zal elke certificaatvernieuwing die naar een niet-geautoriseerde CA wordt gestuurd, mislukken. CertSecure Manager automatiseert de vernieuwingen via uw geautoriseerde CA's, zodat u niet voor verrassingen komt te staan ​​wanneer een certificaat bijna verloopt.

Auditlogboek voor compliance: Voor frameworks zoals SOC 2, ISO 27001 en PCI DSS is het aantonen van controle over de certificaatuitgifte een documenteerbare beveiligingsmaatregel. CertSecure Manager registreert elke certificaatgebeurtenis, waardoor uw compliance-team het bewijsmateriaal krijgt dat ze nodig hebben.

CAA-records geven je beleid. CertSecure Manager biedt je het inzicht en de automatisering om dat beleid consistent toe te passen in je gehele certificaatomgeving.

Conclusie

CAA-records worden vaak over het hoofd gezien omdat ze onopvallend op de achtergrond werken, maar het weglaten ervan creëert een aanzienlijk beveiligingslek. Aangezien het misbruik van certificaten een steeds groter risico vormt op internet, moeten domeineigenaren controle hebben over wie namens hen certificaten mag uitgeven. CAA-records bieden die controle op een eenvoudige, gestandaardiseerde manier.

Wanneer CAA-records correct zijn ingesteld en gekoppeld aan DNSSEC, een bewaakt iodef-eindpunt en een degelijk certificaatbeheerproces, vormen ze een waardevol onderdeel van uw PKI-strategie. Ze zijn niet moeilijk te implementeren, maar moeten wel actueel worden gehouden naarmate uw omgeving verandert.