1. 文章分类
  2. 运营
  3. 通过新的CAA标准,HTTPS证书颁发更加安全

通过新的CAA标准,HTTPS证书颁发更加安全

时间:2019-03-29 09:37:59

通过新的CAA标准,HTTPS证书颁发更加安全

CA浏览器论坛投票发布证书颁发机构授权(CAA)标准,SSL / TLS证书在颁发之前必须执行CAA强制性检查,作为防止HTTPS证书错误签发的安全措施。

CA浏览器论坛187号提案,100%的浏览器制造商和94%的CA认证机构投票同意,从2017年9月8日起执行CAA强制性检查。CAA代表证书颁发机构授权,是一项新的可以添加到DNS记录中的额外字段,已经通过互联网工程任务组(IETF)的批准列为RFC 6844。

为什么需要CAA强制性检查

CA浏览器论坛是监督HTTPS证书颁发操作的组织机构,根据其批准的新的CAA检查程序,CA必须检查客户申请证书的域名DNS记录中的CAA字段。域名所有者可以在CAA字段中留下指令,以防止钓鱼攻击者使用其域名申请SSL/TLS证书。例如:

domain.com. CAA 0 issue "wosign.com"

这个CAA字段告知证书颁发机构,只有wosign可以为该特定域名颁发证书。未经授权的第三方尝试通过其他CA注册获取用于该域名的SSL/TLS证书将被拒绝。

如何设置CAA字段

可以将多个CAA字段添加到域名的DNS记录中,例如,如果第三方尝试为一个未获得授权的域名申请证书,以下CAA字段会告诉CA向网站所有者发送一封邮件。这样的邮件表示有人正尝试为未经授权的网站申请HTTPS证书,网站所有者应该开始调查并深入检查该问题。

domain.com. CAA 0 iodef "mailto:admin@domain.com"

Iodef属性还支持URL端点,可以记录尝试在其他CA申请HTTPS证书的行为。

domain.com. CAA 0 iodef "http:// domain.com/fraud-log/"

如果站点使用多个子域,则CAA记录也可以限制钓鱼攻击者对其中任何一个域名申请HTTPS证书。

downloads. domain.com. CAA 0 issue "wosign.com"

news. domain.com. CAA 0 issue "certum.eu"

forum. domain.com. CAA 0 issue "startcom.org"

此外,CAA记录也可用于将通配符证书的颁发权限指定仅限一家CA。

domain.com. CAA 0 issuewild " wosign.com"

CAA强制性检查,需要网站所有者参与

CA浏览器论坛187号提案强制证书颁发机构在颁发新的HTTPS证书之前验证CAA DNS记录,但不强制域名所有者创建DNS记录。如果网站所有者没有为其网站DNS记录设置CAA详细信息,这就意味着任何CA都可以为其域名颁发证书。

因此,建议网站所有者在2017年9月8日之前,将CAA字段添加到DNS记录中,这样可以阻止钓鱼攻击者申请你的网站HTTPS证书,用来仿冒你的网站。


每日资讯 创业 运营 微信