CAA Record Checking in expect-dialog-ca

20.07.2023

Ich habe ein Skript zum Projekt für die Verwaltung von Certficate Authorities in PKI hinzugefügt, das (besonders in größeren Installationen) hilfreich beim enrolment von RTLS-Server-Zertifikaten sein kann.

Automatisches Enrolment - wie etwa vie ACME (RFC 8555) von Let's Encrypt angeboten benutzt Challenges, die ein Antragsteller erfüllen muss, um zu zeigen, dass er tatsächlich Eigentümer der betreffenden Domain ist. Dies ist allein kein ausreichender Schutz vor Missbrauch. Daher existieren andere Ansätze, die damit kombiniert oder auch in einem nicht- automatisierten Prozess fürs Enrollment dazu beitragen können, Missbrauch zu verringern.

Eins dieser Mechanismen sind sogenannte DNS Certification Authority Authorization (CAA) Resource Record, wie sie in RFC 8659 beschrieben werden. Diese Records enthalten Informationen darüber, welcher PKI erlaubt ist, für die jeweilige Domain (und ihre Sub-Domains) Zertifikate auszustellen.

Die expect-dialog-ca bietet nunmehr ein Script an, das diese Records aus dem DNS erfragt, sie auswertet und die Informationen in einer menschenlesbaren Form aufbereitet und anzeigt. Damit hat derjenige, der über einen Antrag für ein TLS-Zertifikat entscheiden muss eine einfache Handreichung, diesen Mechanismus anzuwenden und auf dessen Basis die Entscheidung über Ausstellung oder Verweigerung des Zertifikats zu treffen.

Alle Artikel rss Wochenübersicht Monatsübersicht Codeberg Repositories Mastodon Über mich home xmpp


Vor 5 Jahren hier im Blog

  • Bildverarbeitung in Java multi-threaded

    13.08.2020

    Ich habe vor einiger Zeit darüber berichtet, dass ich eine alte Bibliothek zur Bildverarbeitung von C++ nach Java portiert habe. Ich habe sie inzwischen poliert und um neue Features ergänzt...

    Weiterlesen

Neueste Artikel

  • Java und (Neo)Vim - der letzte Strohhalm

    Ich habe bereits mehrmals über Rückschläge und Fortschritte bei meinem Umstieg von "traditionellen" IDEs auf (Neo)Vim berichtet - eine Anforderung meinerseits an ein System zur Entwicklung von Software war dabei bisher unerfüllt geblieben - bisher...

    Weiterlesen
  • LinkCollections 2025 VIII

    Nach der letzten losen Zusammenstellung (für mich) interessanter Links aus den Tiefen des Internet von 2025 folgt hier gleich die nächste:

    Weiterlesen
  • Ideen für die schnellere Beschaffung von Schulmaterialien

    Ich wurde auf ein Problem hingewiesen, das in meiner Welt bisher noch nie vorkam: Jedes Jahr erhält man als Eltern eine Liste von Dingen, die für die lieben Kleinen anzuschaffen sind, damit sie in der Schule mitarbeiten können.

    Weiterlesen

Manche nennen es Blog, manche Web-Seite - ich schreibe hier hin und wieder über meine Erlebnisse, Rückschläge und Erleuchtungen bei meinen Hobbies.

Wer daran teilhaben und eventuell sogar davon profitieren möchte, muss damit leben, daß ich hin und wieder kleine Ausflüge in Bereiche mache, die nichts mit IT, Administration oder Softwareentwicklung zu tun haben.

Ich wünsche allen Lesern viel Spaß und hin und wieder einen kleinen AHA!-Effekt...

PS: Meine öffentlichen Codeberg-Repositories findet man hier.