Registro CAA (autorização da autoridade de certificação)

O que é um registro CAA?

Um registro CAA (certificate Authority Authorization) é um tipo de registro DNS que especifica quais Autoridades Certificadoras (CAs) são autorizadas a emitir certificados SSL/TLS para um domínio. A CAA atua como um controle de segurança, impedindo a emissão de certificados não autorizados, mesmo que um atacante comprometa uma CA.

Por que os registros CAA são importantes

Sem registros da CAA, qualquer uma das centenas de CAs confiáveis poderia emitir um certificado para o seu domínio. Isso cria risco:

• Compromisso da AC: Se qualquer CA confiável estiver comprometida, os atacantes poderão obter certificados para o seu domínio
• Emissão de erros: CAs ocasionalmente emitir certificados incorretamente
• Engenharia Social: Os atacantes podem enganar uma CA para emitir certificados não autorizados

Os registros da CAA reduzem a superfície de ataque restringindo quais CAs podem emitir para o seu domínio.

Como funciona o CAA

1. Dono do domínio publica Registros CAA em DNS

2. O solicitante de certificado pede um certificado a uma CA

3. Verificações CA Registros CAA para o domínio

4. Questões de CA somente se autorizado (ou não existem registros de CAA)

5. Se não autorizado, a CA deve recusar o pedido

Verificação obrigatória da autoridade certificadora

A partir de setembro de 2017, todas as CA são obrigadas a verificar os registros CAA antes de emitir certificados. Isso faz parte dos Requisitos de Base do Fórum CA/Browser.

Formato do registro CAA

example.com.    IN    CAA    0 issue "letsencrypt.org"

Componentes:

• 0: Bandeiras (0 = não crítica, 128 = crítica)
• emissão/emissão selvagem/iodef: Marca de propriedade
• "letsencrypt.org": Valor da propriedade (a CA autorizada)

Rótulos de propriedade

Exemplos de registros CAA

Uma CA, somente Let's Encrypt

example.com.    CAA    0 issue "letsencrypt.org"

Várias CAs

example.com.    CAA    0 issue "letsencrypt.org"
example.com.    CAA    0 issue "digicert.com"
example.com.    CAA    0 issue "sectigo.com"

Restrição de curingas

Permitir Vamos criptografar para certificados regulares, DigiCert para curingas:

example.com.    CAA    0 issue "letsencrypt.org"
example.com.    CAA    0 issuewild "digicert.com"

Negar tudo (sem certificados)

Útil para domínios que nunca devem ter certificados:

example.com.    CAA    0 issue ";"

Com relatório

example.com.    CAA    0 issue "letsencrypt.org"
example.com.    CAA    0 iodef "mailto:[email protected]"

Identificadores de CA comuns

Verifique a documentação da sua CA para o identificador exato a usar.

Implementação de registros CAA

Pelo provedor DNS

A maioria dos provedores de DNS tem suporte de registro CAA em sua interface.

Pelo arquivo de zona

; Allow Let's Encrypt and DigiCert
@    IN    CAA    0 issue "letsencrypt.org"
@    IN    CAA    0 issue "digicert.com"
@    IN    CAA    0 iodef "mailto:[email protected]"

Herança da CAA

Os registros da CAA seguem a hierarquia DNS:

• Se example.com tem registros CAA, eles se aplicam aos subdomínios
• Subdomínios podem ter seus próprios registros CAA (sobrescrever pai)
• Nenhum registro CAA = qualquer CA pode emitir

example.com.        CAA    0 issue "letsencrypt.org"     ; Applies to all
api.example.com.    CAA    0 issue "digicert.com"        ; Override for api

Verificando registros CAA

dig example.com CAA

; ANSWER SECTION:
example.com.    300    IN    CAA    0 issue "letsencrypt.org"

curl "https://domscan.net/v1/health?domain=example.com"
# Reports hasCAA in security details

Práticas recomendadas para CAA

1. Configure sempre CAA: Reduza sua superfície de ataque

2. Inclua todas as AC que você usa: Não se esqueça de CDN / provedor de nuvem CAs

3. Set up iodef: Seja notificado de tentativas não autorizadas

4. Teste antes de executar: Verifique se seus CAs ainda podem emitir

5. Mantenha os registros atualizados: Adicionar novas ACs antes de solicitar certificados

Problemas comuns de CAA

A CAA é um controle de segurança simples, mas poderoso, que todos os domínios devem implementar.