[ DNS i domeny ]
Rekordy DNS CAA: poznaj ich rolę w wydawaniu certyfikatów
Odwzoruj autoryzację wystawcy CAA na rzeczywiste przepływy pracy związane z certyfikatami, rozróżnij reguły dotyczące symboli wieloznacznych i ryzyko odnowienia oraz oddzielaj zarządzanie certyfikatami od uwierzytelniania poczty elektronicznej.
Przez zespół badawczy EmailAuth · 9 minut czytania
[Kluczowe punkty]
- CAA reguluje wydawanie certyfikatów, a nie uwierzytelnianie nadawcy wiadomości e-mail.
- Przejrzyj odpowiedni zestaw rekordów dla każdej żądanej nazwy certyfikatu.
- Przed zaakceptowaniem zmiany CAA zweryfikuj zarządzane wydawanie i odnawianie.
Na tej stronie
[Na wynos]
Autoryzuj tylko wystawców wymaganych przez udokumentowane przepływy pracy certyfikatów, zachowaj niuanse związane z symbolami wieloznacznymi i przetwarzaniem aliasów oraz odnawiaj testy bez liczenia CAA jako dowodu SPF , DKIM lub DMARC .
[ Według roli ]
Co to oznacza dla Ciebie
Wybierz swoją rolę, aby uzyskać praktyczne dalsze kroki.
Administrator IT / poczty
Zależności certyfikatów zapasów
Markowe punkty końcowe usług poczty e-mail mogą zależeć od zarządzanego odnawiania certyfikatów.
Kolejne kroki
- Wymień dokładne nazwy i operatorów certyfikatów.
- Uzyskaj obsługiwane identyfikatory wystawców.
- Przetestuj rzeczywisty proces odnawiania.
CISO / SecOps
Spraw, aby autoryzacja była zamierzona
Polityka CAA powinna odzwierciedlać zatwierdzony organ emitenta, a nie skumulowane wyjątki.
Kolejne kroki
- Przejrzyj każdego dodatkowego emitenta.
- Sprawdź zachowanie symboli wieloznacznych i właściwości krytycznych.
- Zachowaj oddzielne mechanizmy uwierzytelniania poczty e-mail.
Założyciel / Nietechniczny
Unikaj opóźnionych przestojów HTTPS
Zmiana zasad DNS może wydawać się nieszkodliwa do czasu odnowienia certyfikatu.
Kolejne kroki
- Przypisz własność zarządzanych punktów końcowych.
- Wymagaj planu wdrożenia umożliwiającego bezpieczne odnowienie.
- Eskaluj niezweryfikowane zależności dostawców przed wydaniem.
[ Często zadawane pytania ]
Często zadawane pytania
Czy CAA uwierzytelnia wiadomości wysyłane z mojej domeny?
Nie. Wyraża upoważnienie do wystawienia certyfikatu. SPF , DKIM i DMARC ustanawiają różne właściwości uwierzytelniania poczty elektronicznej.
Czy nowa polityka CAA unieważni istniejące certyfikaty?
Nie. CAA to kontrola emisji. Ważność i unieważnianie istniejącego certyfikatu to odrębne mechanizmy, zatem działający stary certyfikat nie stanowi dowodu odnowienia.
Czy Issuewild ogranicza żądania certyfikatów innych niż wieloznaczne?
Nie. Dotyczy wydawania symboli wieloznacznych. W przypadku żądań dotyczących symboli wieloznacznych odpowiednie właściwości IssueWid mają pierwszeństwo przed wydaniem; bez IssueWild, Emisja reguluje również wydawanie symboli wieloznacznych.
Czy przy każdej nazwie hosta wymagany jest rekord CAA?
Nie koniecznie. Algorytm odpowiedniego zestawu odpytuje żądaną nazwę i wspina się po jej nazwach nadrzędnych, aż znajdzie zestaw CAA z aliasami obsługiwanymi przez zwykłe wyszukiwanie DNS .
Czy pusty wpis wystawcy zastępuje innego dozwolonego wystawcę?
Nie. Uprawnienia sumują się. Pusty wystawca obok niepustego autoryzowanego wystawcy nie anuluje tej autoryzacji.
Czy ustawienie pola flag na 1 sprawia, że wystawca właściwości jest krytyczny?
Nie. Bit krytyczny wystawcy ma wartość liczbową 128. Nieznana lub nieobsługiwana właściwość krytyczna uniemożliwia wystawienie w ramach odpowiedniego zestawu.
Czy mogę skopiować ograniczenia konta z innego wdrożenia?
Nie. Ograniczenia dotyczące kont i metod walidacji RFC 8657 wymagają odpowiedniego obsługiwanego urzędu certyfikacji, wartości konta i metody. Potwierdź rzeczywisty przepływ pracy z certyfikatami przed ich zastosowaniem.
Które testy zostały ukończone na potrzeby tego przewodnika?
Dokonano jedynie przeglądu źródeł dokumentalnych. Publikacja CAA na żywo, wydanie lub odnowienie certyfikatu, zachowanie dostawcy, ocena wizualna i zgoda właściciela pozostają niezweryfikowane.
[ Źródła ]
Źródła
- RFC 8659
Sekcje §1 Wprowadzenie · §3 Zestaw rekordów odpowiednich zasobów · §4.1 Składnia · §4.2 Właściwość wydania CAA · §4.3 Właściwość CAA Issuewild · §4.4 Właściwość CAA iodef · §4.5 Flaga krytyczna · §6 Zagadnienia dotyczące wdrożenia · §7 Różnice w stosunku do RFC 6844
- RFC 9499
Sekcje §2 Nazwy · §5 Ewidencja zasobów · §7 Strefy
- RFC 8657
Sekcje §3 Rozszerzenia rekordu CAA: Parametr „accounturi” · §3.1 Stosowanie z ACME · §4 Rozszerzenia rekordu CAA: Parametr „validationmethods” · §5.2 Ograniczenia nieskuteczne bez uznania urzędu certyfikacji · §5.8 Zagrożenia błędną konfiguracją
[ Słowniczek ]
Słowniczek
- Relevant RRset
- Zestaw rekordów CAA wybrany w ramach standardowej procedury wyszukiwania żądanego nazwiska.
- issuewild
- Właściwość CAA regulująca wydawanie symboli wieloznacznych, jeśli są one obecne w odpowiednim zestawie.
- Issuer-critical flag
- Flaga wymagająca, aby urząd certyfikacji nie wydawał, gdy odpowiednia właściwość krytyczna jest nieznana lub nieobsługiwana.
Pochodzenie przedsiębiorstwa
Dlaczego najlepsze instytucje finansowe i rządy wycofali swoje panele bezpieczeństwa poczty e-mail.
Tradycyjne platformy uwierzytelniania poczty e-mail oferują pulpit nawigacyjny i proszą inżynierów o wykonanie pracy. W środowiskach o dużej stawce ręczny nadzór oznacza opóźnione egzekwowanie, zmianę konfiguracji i niemonitorowane domeny-cienie.
EmailAuth to platforma agentowego pochodzenia wiadomości e-mail. Nasi agenci egzekwują p=reject, dostosuj zewnętrznych nadawców i przenieś swoje domeny do pełnych adresów RFC 9989 zgodność, nowy standard DMARC , z możliwością kontroli przez człowieka.
SaaS · Dedykowany najem · Lokalne rozwiązanie typu air-gapped · Szyfrowanie BYOK