DNS CAA (Certification Authority Authorization) kaydı, bir alan adı sahibinin, o alan için sertifika vermeye hangi otoritelerin yetkili olduğunu açıkça ilan ettiği bir DNS kaydıdır. Kaydın amacı savunmacıdır: listede olmayan bir otoritenin, alan adına ait bir sertifika üretmesini baştan engellemektir.

CAA kaydı, bir alan adına yalnızca belirtilen sertifika otoritelerinin sertifika verebilmesini sağlayarak yetkisiz sertifika üretimini engelleyen bir DNS mekanizmasıdır.

Bir sertifika otoritesi, yeni bir sertifika vermeden önce alan adının DNS bölgesindeki CAA kaydını sorgulamakla yükümlüdür. Kayıtta kendi tanımlayıcısını göremezse, sektör kurallarına göre sertifikayı vermeyi reddetmesi gerekir. Bu denetim otoritenin sorumluluğundadır; yani CAA, sertifika sürecinin en başına yerleştirilmiş bir kapıdır.

Kayıt Neyi İçerir?

Bir CAA kaydı üç ana bileşenden oluşur: bir bayrak, bir etiket ve bir değer. En yaygın etiket olan issue, alan adına sertifika vermeye yetkili otoritenin adını belirtir; issuewild yalnızca joker karakterli sertifikaları kapsar; iodef ise bir ihlal denemesi olduğunda otoritenin bildirim göndereceği bir iletişim adresi tanımlar. Böylece kayıt, hem izin listesi hem de bir uyarı kanalı işlevi görür.

Şeffaflıkla Birlikte Nasıl Çalışır?

CAA önleyici bir denetimdir: yanlış sertifikanın en baştan verilmesini durdurmaya çalışır. Bunu tamamlayan tespit katmanı ise sertifika şeffaflığı günlükleridir; bir alan adına verilen her sertifika bu genel kayıtlara işlenir, böylece CAA’ya rağmen bir yerde yetkisiz sertifika üretilmişse alan sahibi bunu fark edebilir. İkisi birlikte, sertifika kötüye kullanımına karşı hem önleme hem izleme sağlar.

CAA’nın güvenilirliği, DNS yanıtlarının değiştirilememesine bağlıdır. Kayıt bir saldırgan tarafından tahrif edilebilseydi, izin listesine sahte bir otorite eklenerek denetim boşa çıkarılabilirdi. Bu nedenle CAA, imzalı DNS yanıtları sağlayan DNSSEC ile birlikte kullanıldığında en güçlü korumayı sunar; DNSSEC, otoritenin sorguladığı kaydın gerçekten alan sahibinden geldiğini kanıtlar.

Kurumsal Etki

Bir kurum için CAA kaydı, sertifika tedarikini birkaç güvenilir otoriteyle sınırlayarak saldırı yüzeyini daraltır ve iç süreçlere disiplin getirir. Yalnızca onaylı otoriteler üzerinden sertifika alınabildiğinden, gölge BT ekiplerinin rastgele bir otoriteden sertifika üretmesi de zorlaşır. CAA, sertifika şeffaflığı ve DNSSEC’in birlikte doğru yapılandırıldığını doğrulamak için bir altyapı ve mimari gözden geçirme çalışması, bu kontrollerin gerçekten devrede olduğunu ortaya koyar.