CAA Kaydı Sertifika Düzenlemesini Nasıl Sınırlar?

Alan adınız için hangi sertifika otoritelerinin sertifika düzenleyebileceğini DNS üzerinden belirtmek isteyebilirsiniz. CAA, yani Certification Authority Authorization kaydı, bu yetkilendirme kuralını tanımlamanızı sağlar. Bu rehberde CAA kayıtlarının nerede arandığını, issue ve issuewild etiketlerinin farkını, boş issue değerini ve kritik etiketlerin sınırlarını inceleyeceğiz. Amaç, sertifika talebinden önce DNS kaydınızın ne anlama geldiğini okuyabilmenizdir.

Kısa özet

• CAA kaydı, alan adı sahibinin kendi alan adı için sertifika düzenlemeye yetkili sertifika otoritelerini belirtmesine olanak verir.
• Uyumlu bir sertifika otoritesi, sertifika düzenlemeden önce ilgili CAA kayıt kümesini kontrol eder; CAA uyumu gerekli olsa da tek başına yeterli değildir.
• issue, FQDN’yi içeren sertifikalara yönelik yetki kuralıdır. Wildcard talebinde issuewild yoksa issue kuralları da uygulanır; issuewild varsa wildcard talebi için issue yerine issuewild önceliklidir.
• Kritik ve CA tarafından bilinmeyen veya desteklenmeyen bir etiket varsa CA, o FQDN için sertifika düzenlememelidir.

CAA kaydı neyi değiştirir?

CAA kaydı, bir DNS alan adı sahibinin o alan adı için sertifika düzenlemeye yetkili CA’ları belirtmesini mümkün kılar. Bir CA’nın yayımlanmış CAA kaydıyla uyumlu olması sertifika düzenlemesi için gerekli bir koşuldur; fakat tek başına yeterli değildir. Başka bir deyişle, CAA bir CA için yetkilendirme kuralı ifade eder, ancak sertifikanın mutlaka düzenleneceği anlamına gelmez.

Uyumlu bir CA, sertifika düzenlemeden önce ilgili CAA kayıt kümesinin yayımlanıp yayımlanmadığını kontrol etmelidir. Kayıt kümesi varsa CA, sertifika talebi bu kurallarla uyumlu olmadıkça veya ilgili CA’nın Certificate Policy ya da Certification Practice Statement belgelerinde tanımlanmış bir istisna uygulanmadıkça sertifika düzenlememelidir. Bu nedenle CAA sonucunu her durumda otomatik ret olarak yorumlamayın. [Kaynak]

• CA: Sertifika düzenleyen sertifika otoritesi.
• CAA kayıt kümesi: Bir DNS adında bulunan CAA kayıtlarının bütünü.
• CP/CPS: CA’nın sertifika politikası veya sertifikasyon uygulama bildirimi belgeleri.

Kaynak: [1]

CA, hangi CAA kaydını kontrol eder?

CAA araması sertifika talebindeki alan adından başlar ve bir CAA kayıt kümesi bulunana kadar DNS ad ağacında üst alan adlarına ilerler. DNS kökü bu aramaya dahil edilmez. Bu davranış, yalnızca istenen tam alan adındaki kaydın değil, üst adlardaki kaydın da sertifika isteğini etkileyebilmesi demektir.

Örnek senaryo: shop.example.com için sertifika isteniyor olsun. shop.example.com üzerinde CAA kayıt kümesi yoksa arama example.com yönünde sürer. example.com üzerinde bir CAA kayıt kümesi bulunursa değerlendirme o ilgili kayıt kümesi üzerinden yapılır. Bu örnek, üst alan adındaki bir CAA kuralını değiştirmeden önce alt alan adlarını da hesaba katmanız gerektiğini gösterir.

Kaynak: [1]

Kayıt biçimi: flags, tag ve value

CAA kaydının kanonik yazımı CAA flags tag value biçimindedir. flags, 0 ile 255 arasında işaretsiz bir tamsayıdır. Her CAA kaydı tek bir özellik, yani bir tag-value çifti taşır. Aynı FQDN’de birden fazla CAA kaydı bulunabilir; aynı özellik etiketi de bu kayıtların birden fazlasında yer alabilir.

Bu biçimde flags bayrak değerini, tag özellik etiketini, value ise etiketin taşıdığı değeri ifade eder. Birden fazla CAA kaydı kullanırken, her kaydın tek bir tag-value çifti taşıdığını ve değerlendirmede ilgili kayıt kümesinin birlikte ele alındığını göz önünde bulundurun.

• flags: Kaydın bayrak değeridir; 0–255 arasında işaretsiz tamsayıdır.
• tag: Özellik etiketidir; örneğin issue veya issuewild olabilir.
• value: Etiketin taşıdığı değerdir.

Kaynak: [1]

issue ile sertifika yetkisini belirtmek

İlgili CAA kayıt kümesinde issue etiketi varsa, bu etiket istenen FQDN’yi içeren sertifikalar için bir yetkilendirme talebidir. CA’nın CAA issue kısıtlama işlemini yürütmesini ve sertifika düzenleme yetkisini issuer-domain-name sahibine veya onun açıkça yetkilendirdiği tarafa vermesini ister.

issue etiketi boş issuer-domain-name ile kullanıldığında FQDN sahibi hiçbir kuruluşun sertifika düzenlememesini talep edebilir. Bu, belirli bir CA adı yazılmadığı için düzenlemenin serbest olduğu anlamına gelmez; düzenleme yapılmaması isteğidir.

issue yalnızca wildcard olmayan sertifikalarla sınırlı bir kural değildir. Wildcard alan adını içeren bir sertifika talebinde ilgili kayıt kümesinde issuewild özelliği yoksa issue kuralları değerlendirilir. issuewild özelliği varsa wildcard talebi için issue yerine issuewild öncelik kazanır.

Örnek senaryo: example.com için sertifika düzenlemesini hiçbir kuruluşa açmak istemediğiniz bir dönemde boş issuer-domain-name içeren issue kuralını değerlendirebilirsiniz. Uygulamadan önce, bu kuralın ilgili CAA aramasında hangi adlara uygulanacağını ve sertifika yenileme planınızı gözden geçirmek gerekir.

Kaynak: [1]

Wildcard sertifikalarda issuewild önceliği

Wildcard Domain Name, *.example.com gibi yıldız ve nokta ile başlayan alan adıdır. issuewild etiketi, issue ile aynı sözdizimine ve anlama sahiptir; ancak yalnızca wildcard alan adını içeren sertifikalar için yetki verir.

İlgili kayıt kümesinde en az bir issuewild özelliği bulunursa, wildcard alan adını içeren sertifika taleplerinde issuewild kuralları issue kurallarına göre önceliklidir. Bu durumda wildcard talebi için issue kuralları değerlendirilmez. Buna karşılık issuewild yoksa, wildcard sertifika talebi issue kurallarından bağımsız değildir; issue kuralları uygulanmaya devam eder.

Bu nedenle normal alan adı sertifikası ile wildcard sertifikası için aynı yetki kuralının geçerli olduğunu varsaymayın. *.example.com için sertifika planlıyorsanız, ilgili kayıt kümesinde issuewild bulunup bulunmadığını ve yoksa issue kurallarını birlikte inceleyin.

Kaynak: [1]

Bilinmeyen etiketler, DNSSEC ve CAA’nın sınırı

İlgili kayıt kümesinde sertifika düzenlemeyi kısıtlayan bir etiket yoksa CAA düzenlemeyi sınırlamaz. Buna yalnızca iodef etiketlerinin bulunması veya CA’nın tanımadığı etiketlerin bulunması örnek verilebilir. Ancak bilinmeyen bir etiketi kritik olarak işaretleyen kayıtlar için ayrı bir kural vardır.

Kritik bayrak, flags alanındaki bit 0 ile tanımlanır. İlgili kayıt kümesinde CA’nın bilmediği veya desteklemediği kritik bir özellik etiketi bulunursa CA, o FQDN için sertifika düzenlememelidir. Bu nedenle alışılmadık bir tag kullanmayı düşünüyorsanız yalnızca etiket adını değil, flags değerinin kritik davranış getirip getirmediğini de kontrol edin.

DNSSEC, DNS kayıtlarının doğrulanmasına yönelik bir mekanizmadır. RFC, CAA kayıtlarını doğrulamak için DNSSEC kullanımını güçlü biçimde önerir, ancak zorunlu tutmaz. DNS kayıtları imzalı olmasa bile bir CA, ilgili CAA kayıt kümesiyle çelişen sertifika düzenlememelidir.

CAA yararlı bir yetkilendirme katmanıdır; yine de CAA tarafından yetkilendirilmiş bir CA’nın hatalı sertifika düzenlemesini engellemez. DNS kayıtlarının diğer görevlerini de gözden geçirmek isterseniz DNS kayıtları: A, CNAME, MX ve TXT ne işe yarar? rehberindeki temel kayıt açıklamalarını CAA’dan ayrı değerlendirin.

Kaynak: [1]

Uygulama kontrol listesi

• Sertifika istenen FQDN’den başlayarak üst alan adlarında CAA kayıt kümesini kontrol edin.
• issue kurallarını, FQDN’yi içeren sertifikalar için inceleyin.
• Wildcard alan adını içeren sertifika talebinde issuewild olup olmadığını kontrol edin.
• Wildcard talebinde issuewild yoksa issue kurallarının uygulanmaya devam ettiğini doğrulayın.
• Wildcard talebinde issuewild varsa issuewild’ın issue üzerinde öncelikli olduğunu doğrulayın.
• Boş issuer-domain-name içeren issue kaydının düzenleme yapılmaması isteği olduğunu doğrulayın.
• Bilinmeyen etiketlerde flags değerini ve etiketin kritik olup olmadığını kontrol edin.
• CAA kaydıyla uyumun gerekli fakat tek başına yeterli olmadığını ve CAA’nın yetkilendirilmiş bir CA’nın hatalı düzenlemesini tek başına engellemediğini hesaba katın.

CAA kaydı, alan adınız için sertifika düzenleme yetkisini DNS üzerinden belirtmenizi sağlar. Önce ilgili CAA kayıt kümesinin nerede bulunduğunu belirleyin. Ardından issue kurallarını inceleyin: wildcard talebinde issuewild yoksa bu kurallar uygulanmaya devam eder; issuewild varsa wildcard talebi için issuewild önceliklidir ve issue değerlendirilmez. Boş issue değerinin düzenleme yapılmaması isteği olduğunu, kritik bilinmeyen etiketlerin düzenlemeyi engellediğini ve CAA’nın yetkilendirilmiş bir CA’nın hatalı düzenlemesini tek başına önlemediğini unutmayın.

Sık sorulan sorular

CAA kaydı tek başına sertifika alınmasını garanti eder mi?

Hayır. Yayımlanmış CAA kaydıyla uyum, sertifika düzenlemesi için gerekli fakat tek başına yeterli değildir.

Boş issue değeri ne anlama gelir?

issue etiketi boş issuer-domain-name ile kullanıldığında, FQDN sahibi hiçbir kuruluşun sertifika düzenlememesini talep eder.

Wildcard sertifika talebinde issue kuralı uygulanır mı?

Evet, ilgili kayıt kümesinde issuewild yoksa issue kuralları wildcard alan adını içeren sertifika talebinde de uygulanır. issuewild varsa wildcard talebi için issuewild önceliklidir ve issue kuralları değerlendirilmez.

CA’nın bilmediği bir CAA etiketi sertifikayı her zaman sınırlar mı?

Hayır. Kritik olmayan bilinmeyen etiketler düzenlemeyi sınırlamayabilir. Bilinmeyen veya desteklenmeyen kritik bir etiket varsa CA, o FQDN için sertifika düzenlememelidir.

Kaynaklar

[1] rfc8659.txt