|
DNS Certification Authority Authorization
Otorisasi Penyelenggara Sertifikat Elektronik DNS ((Inggris): Certification Authority Authorization disingkat menjadi CAA) merupakan sebuah mekanisme kebijakan keamanan internet yang memungkinkan pemilik nama domain untuk memastikan penerbit sertifikat digital melalui penyelenggara sertifikat elektronik apakah penerbit tersebut berwenang untuk menerbitkan sertifikat digital untuk nama domain tersebut. Hal ini dilakukan dengan mencatat sumber daya dari "CAA" Domain Name System (DNS) yang baru.[1] CAA dirancang oleh seorang Ilmuwan komputer Phillip Hallam-Baker dan Rob Stradling sebagai respons dari meningkatnya kekhawatiran tentang keamanan dari penyelenggara sertifikat elektronik terpercaya. Hal ini juga termasuk ke dalam Usulan Standar oleh Internet Engineering Task Force (IETF).[2] Latar belakangPada tahun 2001 dan setelahnya, Banyak sertifikat yang diterbitkan secara tidak benar[3][4] hal tersebut telah merusak kepercayaan pada penyelenggara sertifikat elektronik publik.[5] CAA hadir untuk mempercepat kinerja pada berbagai mekanisme keamanan, termasuk Certificate Transparency (CT). HTTP Public Key Pinning (HPKP) dan DNS-based Authentication of Named Entities (DANE) yang bertugas memblokir sertifikat yang bermasalah penerbitan nya dari sisi klien, sedangkan CAA bertugas memblokir penerbitan yang salah dari sisi penyelenggara sertifikat elektronik[6] Draf pertama dari CAA ditulis oleh Phillip Hallam-Baker dan Rob Stradling, kemudian diajukan sebagai Internet draf IETF pada bulan Oktober 2010.[7] Rancangan tersebut kemudian dikembangkan lebih lanjut oleh Kelompok Kerja PKIX dengan penambahan infrastruktur kunci publik X.509,[8] dan disetujui oleh IESG sebagai Usulan Standar dengan kode RFC 6844, pada bulan Januari 2013.[9] Diskusi CA/Browser Forum dimulai setelah masuk sebagai Usulan Standar,[6] Baru ketika Maret 2017, mereka memutuskan untuk mewajibkan implementasi CAA untuk seluruh penyelenggara sertifikat elektronik pada bulan September 2017.[10][11] Setidaknya ada satu penyelenggara sertifikat elektronik, Comodo, yang gagal mengimplementasikan CAA setelah batas waktu berakhir.[12] Pada tahun 2017, Universitas Teknik München menemukan banyak penyelenggara sertifikat elktronik yang gagal mengimplementasikan standar CAA dengan benar.[6] Pada bulan September 2017, Jacob Hoffman-Andrews mengajukan draf internet yang dimaksudkan untuk menyederhanakan standar dari CAA, Standar tersebut kemudian dikembangkan kembali oleh LAMPS Working Group, dan disetujui sebagai RFC 8659, sebagai Usulan Standar, pada bulan November 2019.[7] Hingga bulan Januari 2020, Qualys melaporkan bahwa, hanya 6,8% dari 150.000 situs paling populer yang mendukung TLS yang telah menggunakan CAA.[13] CatatanPenyelenggara sertifikat elektronik yang menerapkan CAA dapat melakukan pencarian DNS pada catatan sumber daya CAA. Jika penyelenggara sertifikat elektronik ditemukan, CAA memastikan bahwa Penyelenggara sertifikat elektronik tersebut terdaftar sebagai pihak yang berwenang sebelum diterbitkan sebagai sertifikat digital. setiap catatan sumber daya CAA terdiri dari komponen berikut:[8]
Kurangnya catatan dari CAA yang mengizinkan penerbitan normal yang tidak dibatasi, dan keberadaan tag kosong yang melarang semua penerbitan.[7][11][17] Pemantau penyelenggara sertifikat elektronik dari pihak ketiga memungkinkan melakukan pemeriksaan pada sertifikat yang baru diterbitkan terhadap catatan domain CAA, tetapi harus memperhatikan catatan domain dari CAA, bisa saja terjadi perubahan di antara waktu sertifikat tersebut di rilis dengan waktu pihak ketiga melakukan pengecekan. Pelanggan tidak boleh menggunakan CAA sebagai bagian dari proses validasi sertifikat.[7] EkstensiRFC 8657 menentukan parameter SejarahDraf dari ekstensi pertama untuk standar CAA diterbitkan pada tanggal 26 Oktober 2016, mengusulkan token account-uri baru ke akhir issue property, yang melakukan binding pada domain ke akun spesifik Automated Certificate Management Environment.[18] Draf ini diubah pada tanggal 30 Agustus 2017, untuk memasukkan metode validation-methods yang baru,[19] dan kemudian diubah lebih lanjut pada tanggal 21 Juni 2018 untuk menghapus tanda pada account-uri dan validation-methods dan diubah menjadi accounturi dan validationmethods.[20] ContohUntuk menunjukkan bahwa hanya penyelenggara sertifikat elektronik yang diidentifikasi oleh ca.example.net yang berwenang untuk mengeluarkan sertifikat seperti example.com dan semua subdomain, salah satunya bisa menggunakan catatan CAA di bawah ini.[7] example.com. IN CAA 0 issue "ca.example.net" Untuk melarang penerbitan sertifikat apa pun, issue bisa di isi dengan data kosong seperti: example.com. IN CAA 0 issue ";" Untuk menunjukkan bahwa penyelenggara sertifikat elektronik harus melaporkan permintaan sertifikat yang tidak valid ke alamat email dan endpoint dari Real-time Inter-network Defense. example.com. IN CAA 0 iodef "mailto:[email protected]" example.com. IN CAA 0 iodef "http://iodef.example.com/" Untuk menggunakan perpanjangan protokol di masa mendatang, sebagai contoh, yang mendefinisikan properti future yang baru, perlu dipahami oleh penyelenggara sertifikat elektronik sebelum hal tersebut dapat dilanjutkan dengan aman, dapat di atur dengan tanda issuer critical : example.com. IN CAA 0 issue "ca.example.net" example.com. IN CAA 128 future "value" Insiden kepatuhan yang diketahuiPada tahun 2017, Camerfirma ditemukan melakukan validasi catatan CAA secara tidak benar. Camerfirma diklaim telah salah memahami persyaratan dasar dari CA/Browser Forum yang menjelaskan validasi CAA.[21] Pada awal tahun 2020, Let's Encrypt mengungkapkan bahwa perangkat lunak mereka secara tidak benar melakukan memvalidasi catatan CAA yang berpotensi memengaruhi lebih dari 3 juta sertifikat.[22] Let's Encrypt bekerja dengan pelanggan dan operator situs untuk mengganti lebih dari 1,7 juta sertifikat, tetapi memutuskan untuk tidak mencabut sisanya untuk menghindari permasalahan waktu henti pada klien dan karena semua sertifikat yang terpengaruh akan kedaluwarsa dalam waktu kurang dari 90 hari.[23] Lihat jugaReferensi
Pranala luar |
||||||||||||||||
