DNSSEC i CAA: dwie blokady domeny, które włączasz w 10 minut
DNSSEC podpisuje odpowiedzi DNS Twojej domeny, więc serwery DNS, które sprawdzają podpisy, odrzucą podrobioną odpowiedź z fałszywym adresem strony albo serwera poczty. CAA to rekord DNS z listą urzędów certyfikacji, które mogą wystawić certyfikat SSL dla domeny. Oba włączasz w panelu DNS i u rejestratora w kilka minut pracy, a trzeba tylko pamiętać o dwóch pułapkach: zmianie dostawcy DNS przy włączonym DNSSEC i pominięciu w CAA urzędu, z którego korzysta Twój hosting.
- Od 8 września 2017 r. urzędy certyfikacji muszą sprawdzać rekord CAA przed wystawieniem certyfikatu; obowiązek wprowadziło głosowanie 187 CA/Browser Forum.
- Według Let’s Encrypt rekord CAA z tagiem issue obejmuje zwykłe certyfikaty i certyfikaty wildcard, a kilka rekordów tego samego typu się sumuje: wystarczy, że jeden pozwala danemu urzędowi.
- Cloudflare ostrzega, że domenę z włączonym DNSSEC u rejestratora trzeba przed zmianą serwerów nazw przygotować, bo inaczej przestanie się poprawnie otwierać.
- NASK, rejestr domen .pl, opisuje DNSSEC jako ochronę przed przekierowaniem użytkownika na fałszywą stronę podszywającą się pod prawdziwą.
Przed czym chronią te dwie blokady
Gdy klient wpisuje adres Twojej strony, jego komputer pyta serwery DNS, pod jakim adresem IP ją znaleźć. Zwykły DNS nie sprawdza, czy odpowiedź jest prawdziwa. Atakujący, który podrobi odpowiedź w sieci albo w pamięci podręcznej serwera, może skierować klienta na fałszywą stronę albo przechwycić pocztę.
Druga furtka to certyfikat SSL. Kłódka w przeglądarce znaczy, że certyfikat wystawił zaufany urząd certyfikacji, czyli firma upoważniona do potwierdzania, że domena jest Twoja. Takich urzędów jest wiele. Jeśli któryś się pomyli albo da się oszukać, ktoś dostanie certyfikat na Twoją domenę.
DNSSEC zamyka pierwszą furtkę, a CAA zawęża drugą. Żadna z nich nie zastępuje mocnego hasła i logowania dwuetapowego do panelu rejestratora, bo przejęte konto u rejestratora pozwala zmienić wszystko naraz.
DNSSEC: podpis pod każdą odpowiedzią DNS
DNSSEC dodaje do rekordów domeny podpisy cyfrowe. Serwer DNS, który sprawdza podpisy, odrzuca podrobioną odpowiedź, zamiast podać ją klientowi. Włączenie wymaga dwóch kroków w dwóch miejscach: u dostawcy DNS, który podpisuje strefę, i u rejestratora domeny, który publikuje rekord DS, czyli „odcisk” Twojego klucza.
Jeśli DNS prowadzi u Ciebie rejestrator, często wystarczy jeden przełącznik w jego panelu. Przy Cloudflare kolejność jest taka jak niżej. Cloudflare zaleca algorytm 13. Jeśli rejestrator go nie wymienia, może go nazywać ECDSA Curve P-256 with SHA-256.
- W Cloudflare otwórz DNS, potem Settings, i włącz DNSSEC.
- Skopiuj pokazany rekord DS: klucz, algorytm, typ skrótu i skrót.
- Wklej go w panelu rejestratora w sekcji DNSSEC albo poproś o to jego pomoc techniczną.
- Po kilku godzinach sprawdź domenę w DNSViz albo Verisign DNSSEC Analyzer.
Pułapka: zmiana dostawcy DNS przy włączonym DNSSEC
Rekord DS u rejestratora wskazuje klucz starego dostawcy DNS. Jeśli zmienisz serwery nazw, a stary DS zostanie, serwery sprawdzające podpisy uznają odpowiedzi nowego dostawcy za podrobione. Strona i poczta przestaną działać dla dużej części internautów.
Dlatego przed przenosinami najpierw usuń rekord DS u rejestratora i odczekaj, aż jego czas ważności minie. Cloudflare podaje, że przy większości domen najwyższego poziomu trwa to zwykle 24–48 godzin. Dopiero wtedy zmień serwery nazw i włącz DNSSEC u nowego dostawcy.
CAA: lista urzędów, które mogą wystawić certyfikat
CAA opisuje standard RFC 8659. To rekord DNS w domenie głównej, który obejmuje też subdomeny. Rekord 0 issue "letsencrypt.org" znaczy: certyfikaty dla tej domeny może wystawiać tylko Let’s Encrypt. Inny urząd, który zgodnie z zasadami sprawdzi CAA, odmówi.
Najpierw ustal, skąd masz certyfikaty dziś. Kliknij kłódkę w przeglądarce i sprawdź wystawcę. Jeśli korzystasz z Cloudflare, jego dokumentacja podaje, że przy certyfikatach Universal SSL sam dopisuje rekordy CAA dla swoich urzędów, gdy dodasz własne, choć nie widać ich w panelu.
Przy hostingu z innym dostawcą certyfikatów, na przykład płatnym, dopisz także jego rekord issue. Pominięcie aktualnego urzędu to najczęstszy błąd: nic się nie dzieje do dnia odnowienia, a wtedy nowy certyfikat nie powstaje i strona pokazuje ostrzeżenie.
| Rekord CAA | Co znaczy |
|---|---|
0 issue "letsencrypt.org" | Let’s Encrypt może wystawiać certyfikaty, także wildcard |
0 issuewild ";" | Nikt nie może wystawić certyfikatu wildcard (*.twojadomena.pl) |
0 iodef "mailto:admin@twojadomena.pl" | Adres, na który urząd może zgłosić odrzucony wniosek |
Jak sprawdzić to samemu
- Wpisz domenę w DNSViz (https://dnsviz.net) albo Verisign DNSSEC Analyzer (https://dnssec-analyzer.verisignlabs.com). Zielone wyniki oznaczają, że DNSSEC działa, a czerwone wskazują, w którym miejscu łańcuch się urywa.
- W Google Admin Toolbox Dig (https://toolbox.googleapps.com/apps/dig/) wybierz typ CAA i wpisz domenę bez www. Pusty wynik znaczy, że rekordu nie ma.
- Kliknij kłódkę przy adresie strony i sprawdź wystawcę certyfikatu. Ten urząd musi być na liście CAA.
- W panelu rejestratora sprawdź, czy konto ma logowanie dwuetapowe. To ważniejsze niż obie blokady razem.
Co sprawdza bezpłatny skan
- Pytamy publiczny serwer DNS Cloudflare o rekord SOA domeny głównej, czyli podstawowy wpis jej strefy DNS. Dla www.sklep.com.pl to domena sklep.com.pl. Nie pytamy o adres strony, bo www bywa aliasem (CNAME) do niepodpisanego hostingu, choć sama domena jest podpisana. Jeśli odpowiedź przychodzi z flagą AD, czyli serwer sprawdził podpis DNSSEC, to mocna strona. Jeśli przychodzi bez tej flagi, dostajesz informację o braku DNSSEC. Gdy serwer DNS nie odpowie, adres strony bez www jest aliasem (CNAME) albo z odpowiedzi nie da się ustalić rekordu SOA Twojej domeny, niczego nie zgłaszamy.
- Sprawdzamy, czy domena główna ma rekord CAA. Brak rekordu to informacja, a obecny rekord to mocna strona. Nie porównujemy listy urzędów z wystawcą Twojego obecnego certyfikatu.
Skan sprawdza stronę główną i do 3 podstron. Wynik dostajesz w około minutę.
Kiedy zlecić to komuś: Przy przenosinach domeny, strony i poczty do nowego dostawcy warto zlecić całość jednej osobie, która wyłączy i włączy DNSSEC we właściwej kolejności i dopisze do CAA urzędy wszystkich usług. Zobacz pełny audyt.
Pytania i odpowiedzi
Czy domena .pl obsługuje DNSSEC?
Tak. NASK, który prowadzi rejestr domen .pl, opisuje DNSSEC na dns.pl. Rekord DS dodaje się przez rejestratora, u którego kupiłeś domenę.
Czy DNSSEC spowalnia stronę?
Odpowiedzi DNS są nieco większe, a serwery DNS sprawdzają podpis i trzymają wynik w pamięci podręcznej. Klient zwykle nie odczuwa różnicy.
Co się stanie, jeśli w CAA wpiszę zły urząd?
Obecny certyfikat działa do końca ważności. Problem pojawia się przy odnowieniu, bo właściwy urząd odmówi wystawienia nowego. Wystarczy poprawić rekord i ponowić odnowienie.