CAA新标准生效第一日 Comodo违规

9月8日,在CAA(证书颁发机构授权)标准成为必须的一天之后,一名德国安全研究人员发现,Comodo违反了规定,并发布了一份不应该发布的SSL证书。

CAA允许网站所有者指定允许证书颁发机构(CA)以其名称颁发证书。网站所有者可以通过在DNS条目中添加文本字段来为其域设置CAA规则,如下所示:

bleepingcomputer.com. CAA 0 issue "symantec.com"

这个小规则告诉任何证书颁发机构,只有Symantec可以为BleepingComputer.com域发出SSL证书。

为什么要强制启动CAA检查?
  任何一家CA机构对于整个互联网的安全都有极大的影响。因为任何一家CA都可以给每一位申请者的域名颁发证书,在过往的岁月里,一些小而不知名的的CA机构常常成为黑客利用的对象。为了提升业绩,这些小的CA机构也许在没有正确验证身份的情况下颁发证书。虽然目前也有不少规章制度以及措施限制CA机构颁发证书,但仍存在不少的漏洞,而CAA为域名所有者提供另一个网络安全防线。

然而Comodo发出SSL证书,忽略了CAA条目

根据CA /浏览器论坛在Ballot 187中批准的CAA标准的规定,今年四月,Comodo等证书机构必须在发出新的SSL证书之前先检查DNS记录中的CAA字段。

星期一,德国安全研究员HannoBöck与信息社区共享他设法从Comodo获得SSL证书。 — 现已撤销 —
对于自己的网站,CAA领域限制了SSL发行,只能让我们加密。

Böck表示,他在星期六获得证书,是CAA检查在9月8日星期五成为强制性之后的第一天。

“我最初被通知,邮件提供商mail.de的Michael Kliewe在Comodo缺少CAA检查,”Böck在邮件列表中写道。 “那就是CAA成为强制性之前。”

专家补充说:“我现在已经听到多位其他人的确认证实了这一点。” “现在看来,科摩多根本没有检查CAA。”

Comodo网站显示公司符合CAA标准

根据Comodo官方网站上的网页,该公司拥有符合CAA标准。

Comodo没有及时回应Bleeping Computer发表的有关本文发布的意见的请求。

提示:
您可以通过我们 MySSL CAA检测工具进行检查,目前国内暂时还没有DNS服务商支持CAA记录,自建的或者检测国外域名,如google.com进行测试。

消息来源:https://www.bleepingcomputer.com/news/security/comodo-caught-breaking-new-caa-standard-one-day-after-it-went-into-effect/