Abo
  • Services:

TLS-Zertifikate: Zertifizierungsstellen müssen CAA-Records prüfen

Mittels eines Standards namens Certificate Authority Authorization können Domaininhaber via DNS definieren, wer für sie TLS-Zertifikate ausstellen darf. Ab sofort müssen diese Records geprüft werden. Bei einem Test schlampte Comodo und stellte fälschlicherweise ein Zertifikat aus.

Artikel von Hanno Böck veröffentlicht am
Zuletzt fiel vor allem Symantec durch Schlampereien bei der Zertifikatsausstellung auf - doch jetzt hat es mal wieder Comodo erwischt.
Zuletzt fiel vor allem Symantec durch Schlampereien bei der Zertifikatsausstellung auf - doch jetzt hat es mal wieder Comodo erwischt. (Bild: Comodo)

Ein neuer DNS-Record kann in manchen Situationen helfen, fehlerhaft ausgestellte TLS-Zertifikate zu vermeiden. CAA oder Certificate Authority Authorization heißt der neue Nameservereintrag. Ein Domaininhaber kann darin definieren, welchen Zertifizierungsstellen er erlaubt, Zertifikate für die entsprechende Domain auszustellen. Bei manchen Zertifizierungsstellen hakt es aber noch. Comodo, eine der größten Zertifizierungsstellen, prüft CAA bisher trotz anderweitiger Versprechen überhaupt nicht.

Inhalt:
  1. TLS-Zertifikate: Zertifizierungsstellen müssen CAA-Records prüfen
  2. Comodo stellt fehlerhafterweise Zertifikat aus

Der Standard für CAA - RFC 6844 - wurde bereits 2013 verabschiedet. Doch bislang war es für Zertifizierungsstellen nicht verpflichtend, sich daran zu halten. Im Frühjahr hatte das CA/Browser-Forum in einer Abstimmung entschieden, dass die Prüfung von CAA künftig verpflichtend wird. Der Stichtag dafür war der 8. September 2017.

DNS-Records definieren zulässige Zertifizierungsstelle

Für den Recordtyp CAA können dabei drei Eigenschaften definiert werden: issue, issuewild und iodef. Als "issue"-Eigenschaft kann man einen von der CA definierten Domainnamen angeben, üblicherweise ist das schlicht der Domainname der Webseite der jeweiligen Zertifizierungsstelle. Im Feld "issuewild" kann man separat angeben, wer Wildcard-Zertifikate für die entsprechende Domain ausstellen darf. Wird diese Eigenschaft nicht angegeben, gilt dafür derselbe Wert wie für "issue".

Das Feld iodef ermöglicht es, einen Reporting-Mechanismus zu definieren. Sprich: Wenn eine CA die Ausstellung eines Zertifikats für die Domain verweigert, kann sie damit einen Fehlerbericht an den Inhaber senden. Dort kann man entweder eine HTTP- oder HTTPS-URL oder eine Mailadresse mit vorangestelltem "mailto:" angeben. Bei HTTP/HTTPS-URLs wird ein Fehlerbericht mittels eines POST-Requests verschickt. Das Verschicken von Fehlerberichten ist bisher allerdings optional und wird von den meisten Zertifizierungsstellen nicht unterstützt.

Stellenmarkt
  1. Fraunhofer-Institut für Produktionstechnik und Automatisierung IPA, Stuttgart
  2. BWI GmbH, Berlin, Strausberg

Ein Beispiel für eine entsprechende Zonendatei sähe dabei so aus:

example.com.    IN    CAA    0 issue "letsencrypt.org"
example.com.    IN    CAA    0 issuewild ";"
example.com.    IN    CAA    0 iodef "mailto:postmaster@example.org"

Hier wird festgelegt, dass nur Let's Encrypt Zertifikate für die Domain example.com ausstellen darf. Wildcard-Zertifikate sollen überhaupt nicht ausgestellt werden, dafür wird der Platzhalter ";" eingefügt. Fehlerberichte sollen, falls unterstützt, an postmaster@example.org gemailt werden.

CAA ist dabei ein weiterer Baustein, um das System der TLS-Zertifikate zu verbessern. Hilfreich ist CAA vor allem, um bei möglichen Fehlern in der Domainprüfung einen zusätzlichen Sicherheitsmechanismus zu bieten. Wenn eine Zertifizierungsstelle beispielsweise einen Bug hat, der die Domainvalidierung austrickst, sind davon Nutzer, die via CAA nur die Ausstellung von anderen Zertifizierungsstellen zulassen, nicht betroffen. Vorausgesetzt natürlich, dass die Zertifizierungsstelle CAA korrekt prüft.

Keinen Schutz bietet CAA gegen vollständig kompromittierte oder böswillig agierende Zertifizierungsstellen, da natürlich immer die Voraussetzung ist, dass CAA auch geprüft wird. Gegen bösartige Zertifizierungsstellen können aber andere Mechanismen wie Certificate Transparency oder HTTP Public Key Pinning helfen.

Comodo stellt fehlerhafterweise Zertifikat aus 
  1. 1
  2. 2
  3.  


Anzeige
Hardware-Angebote
  1. 216,50€

My1 12. Sep 2017

Spätestens wenn eine Domain dnssec hat, könnte man vlt via Abstimmung im cab forum und...

ConiKost 12. Sep 2017

Danke! Ich habe inzwischen Nachgefragt und eine Bestätigung bekommen. Nur nicht, was ich...

dasa 11. Sep 2017

Mit der Umsetzung von DANE hapert es bekanntermaßen auf Client-Seite, da es zum einen...


Folgen Sie uns
       


Kingdom Hearts 3 - Test

Das Actionspiel Kingdom Hearts 3 von Square Enix bietet schöne und stimmige Abenteuer in vielen unterschiedlichen Welten von Disney.

Kingdom Hearts 3 - Test Video aufrufen
Oldtimer umrüsten: Happy End mit Elektromotor
Oldtimer umrüsten
Happy End mit Elektromotor

Verbotszonen könnten die freie Fahrt von Oldtimern einschränken. Aber auch Umweltschutzgründe und Exzentrik führen dazu, dass immer mehr Sammler ihre liebsten Fahrzeuge umrüsten.
Ein Bericht von Dirk Kunde

  1. Piëch Mark Zero Porsche-Nachfahre baut eigenen E-Sportwagen
  2. Elektroautos Sportversion des E.Go Life und Shuttle E.Go Lux
  3. Rivian Amazon investiert in Elektropickups

EU-Urheberrecht: Die verdorbene Reform
EU-Urheberrecht
Die verdorbene Reform

Mit dem Verhandlungsergebnis zur EU-Urheberrechtsrichtlinie ist eigentlich niemand zufrieden. Die Einführung von Leistungsschutzrecht und Uploadfiltern sollte daher komplett gestoppt werden.
Ein IMHO von Friedhelm Greis

  1. Uploadfilter Fast 5 Millionen Unterschriften gegen Urheberrechtsreform
  2. Uploadfilter EU-Kommission bezeichnet Reformkritiker als "Mob"
  3. Leistungsschutzrecht und Uploadfilter EU-Unterhändler einigen sich auf Urheberrechtsreform

Klimaschutz: Energieausweis für Nahrungsmittel
Klimaschutz
Energieausweis für Nahrungsmittel

Dänemark will ein Klimalabel für Lebensmittel. Es soll Auskunft über den CO2-Fußabdruck geben und dem Kunden Orientierung zu Ökofragen liefern.
Ein Bericht von Daniel Hautmann

  1. Standard Cognition Konkurrenz zu kassenlosen Amazon-Go-Supermärkten eröffnet
  2. Amazon-Go-Konkurrenz Microsoft arbeitet am kassenlosen Lebensmittel-Einkauf

    •  /