Abo
  • Services:
Anzeige
Zuletzt fiel vor allem Symantec durch Schlampereien bei der Zertifikatsausstellung auf - doch jetzt hat es mal wieder Comodo erwischt.
Zuletzt fiel vor allem Symantec durch Schlampereien bei der Zertifikatsausstellung auf - doch jetzt hat es mal wieder Comodo erwischt. (Bild: Comodo)

TLS-Zertifikate: Zertifizierungsstellen müssen CAA-Records prüfen

Zuletzt fiel vor allem Symantec durch Schlampereien bei der Zertifikatsausstellung auf - doch jetzt hat es mal wieder Comodo erwischt.
Zuletzt fiel vor allem Symantec durch Schlampereien bei der Zertifikatsausstellung auf - doch jetzt hat es mal wieder Comodo erwischt. (Bild: Comodo)

Mittels eines Standards namens Certificate Authority Authorization können Domaininhaber via DNS definieren, wer für sie TLS-Zertifikate ausstellen darf. Ab sofort müssen diese Records geprüft werden. Bei einem Test schlampte Comodo und stellte fälschlicherweise ein Zertifikat aus.
Von Hanno Böck

Ein neuer DNS-Record kann in manchen Situationen helfen, fehlerhaft ausgestellte TLS-Zertifikate zu vermeiden. CAA oder Certificate Authority Authorization heißt der neue Nameservereintrag. Ein Domaininhaber kann darin definieren, welchen Zertifizierungsstellen er erlaubt, Zertifikate für die entsprechende Domain auszustellen. Bei manchen Zertifizierungsstellen hakt es aber noch. Comodo, eine der größten Zertifizierungsstellen, prüft CAA bisher trotz anderweitiger Versprechen überhaupt nicht.

Anzeige

Der Standard für CAA - RFC 6844 - wurde bereits 2013 verabschiedet. Doch bislang war es für Zertifizierungsstellen nicht verpflichtend, sich daran zu halten. Im Frühjahr hatte das CA/Browser-Forum in einer Abstimmung entschieden, dass die Prüfung von CAA künftig verpflichtend wird. Der Stichtag dafür war der 8. September 2017.

DNS-Records definieren zulässige Zertifizierungsstelle

Für den Recordtyp CAA können dabei drei Eigenschaften definiert werden: issue, issuewild und iodef. Als "issue"-Eigenschaft kann man einen von der CA definierten Domainnamen angeben, üblicherweise ist das schlicht der Domainname der Webseite der jeweiligen Zertifizierungsstelle. Im Feld "issuewild" kann man separat angeben, wer Wildcard-Zertifikate für die entsprechende Domain ausstellen darf. Wird diese Eigenschaft nicht angegeben, gilt dafür derselbe Wert wie für "issue".

Das Feld iodef ermöglicht es, einen Reporting-Mechanismus zu definieren. Sprich: Wenn eine CA die Ausstellung eines Zertifikats für die Domain verweigert, kann sie damit einen Fehlerbericht an den Inhaber senden. Dort kann man entweder eine HTTP- oder HTTPS-URL oder eine Mailadresse mit vorangestelltem "mailto:" angeben. Bei HTTP/HTTPS-URLs wird ein Fehlerbericht mittels eines POST-Requests verschickt. Das Verschicken von Fehlerberichten ist bisher allerdings optional und wird von den meisten Zertifizierungsstellen nicht unterstützt.

Ein Beispiel für eine entsprechende Zonendatei sähe dabei so aus:

example.com.    IN    CAA    0 issue "letsencrypt.org"
example.com.    IN    CAA    0 issuewild ";"
example.com.    IN    CAA    0 iodef "mailto:postmaster@example.org"

Hier wird festgelegt, dass nur Let's Encrypt Zertifikate für die Domain example.com ausstellen darf. Wildcard-Zertifikate sollen überhaupt nicht ausgestellt werden, dafür wird der Platzhalter ";" eingefügt. Fehlerberichte sollen, falls unterstützt, an postmaster@example.org gemailt werden.

CAA ist dabei ein weiterer Baustein, um das System der TLS-Zertifikate zu verbessern. Hilfreich ist CAA vor allem, um bei möglichen Fehlern in der Domainprüfung einen zusätzlichen Sicherheitsmechanismus zu bieten. Wenn eine Zertifizierungsstelle beispielsweise einen Bug hat, der die Domainvalidierung austrickst, sind davon Nutzer, die via CAA nur die Ausstellung von anderen Zertifizierungsstellen zulassen, nicht betroffen. Vorausgesetzt natürlich, dass die Zertifizierungsstelle CAA korrekt prüft.

Keinen Schutz bietet CAA gegen vollständig kompromittierte oder böswillig agierende Zertifizierungsstellen, da natürlich immer die Voraussetzung ist, dass CAA auch geprüft wird. Gegen bösartige Zertifizierungsstellen können aber andere Mechanismen wie Certificate Transparency oder HTTP Public Key Pinning helfen.

Comodo stellt fehlerhafterweise Zertifikat aus 

eye home zur Startseite
My1 12. Sep 2017

Spätestens wenn eine Domain dnssec hat, könnte man vlt via Abstimmung im cab forum und...

Themenstart

ConiKost 12. Sep 2017

Danke! Ich habe inzwischen Nachgefragt und eine Bestätigung bekommen. Nur nicht, was ich...

Themenstart

dasa 11. Sep 2017

Mit der Umsetzung von DANE hapert es bekanntermaßen auf Client-Seite, da es zum einen...

Themenstart

Kommentieren



Anzeige

Stellenmarkt
  1. über Hanseatisches Personalkontor Bremen, Bremen
  2. ING-DiBa AG, Nürnberg
  3. OPITZ CONSULTING Deutschland GmbH, verschiedene Standorte
  4. Feynsinn, München, Fulda


Anzeige
Hardware-Angebote
  1. 629€ + 5,99€ Versand
  2. 56,08€ (Vergleichspreis ab ca. 65€)

Folgen Sie uns
       


  1. Übernahme

    SAP kauft Gigya für 350 Millionen US-Dollar

  2. Core i9-7980XE im Test

    Intel braucht 18 Kerne, um AMD zu schlagen

  3. Bundestagswahl 2017

    Ein Hoffnungsschimmer für die Netzpolitik

  4. iZugar

    220-Grad Fisheye-Objektiv für Micro Four Thirds vorgestellt

  5. PowerVR

    Chinesen kaufen Imagination Technologies

  6. Zukunftsreifen

    Michelin will schwammartiges Rad für fahrerlose Autos bauen

  7. Bundestagswahl 2017

    Union und SPD verlieren, Jamaika-Koalition rückt näher

  8. IFR

    Zahl der verkauften Haushaltsroboter steigt stark an

  9. FTTH

    CDU für Verkauf der Telekom-Aktien

  10. Konkurrenz

    Unitymedia gegen Bürgerprämie für Glasfaser



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Bundestagswahl 2017: Viagra, Datenbankpasswörter und uralte Sicherheitslücken
Bundestagswahl 2017
Viagra, Datenbankpasswörter und uralte Sicherheitslücken
  1. Zitis Wer Sicherheitslücken findet, darf sie behalten
  2. Merkel im Bundestag "Wir wollen nicht im Technikmuseum enden"
  3. TV-Duell Merkel-Schulz Die Digitalisierung schafft es nur ins Schlusswort

Olympus Tough TG5 vs. Nikon Coolpix W300: Die Schlechtwetter-Kameras
Olympus Tough TG5 vs. Nikon Coolpix W300
Die Schlechtwetter-Kameras
  1. Mobilestudio Pro 16 im Test Wacom nennt 2,2-Kilogramm-Grafiktablet "mobil"
  2. HP Z8 Workstation Mit 3 TByte RAM und 56 CPU-Kernen komplexe Bilder rendern
  3. Meeting Owl KI-Eule erkennt Teilnehmer in Meetings

VR: Was HTC, Microsoft und Oculus mit Autos zu tun haben
VR
Was HTC, Microsoft und Oculus mit Autos zu tun haben
  1. Concept EQA Mercedes elektrifiziert die Kompaktklasse
  2. GLC F-Cell Mercedes stellt SUV mit Brennstoffzelle und Akku vor
  3. ID Crozz VW stellt elektrisches Crossover vor

  1. Re: Typich das Veralten der Massen

    Camui | 10:14

  2. Re: Folgen der Ignoranz

    elf | 10:14

  3. Abrieb

    M.P. | 10:13

  4. Re: wieso denn Neuwahlen?

    ibsi | 10:13

  5. Re: Muhahaha - Herrmann zieht nicht in den...

    emuuu | 10:12


  1. 10:16

  2. 09:01

  3. 07:52

  4. 07:33

  5. 07:25

  6. 07:17

  7. 19:04

  8. 15:18


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel