CAA Record Checking in expect-dialog-ca

Ich habe ein Skript zum Projekt für die Verwaltung von Certficate Authorities in PKI hinzugefügt, das (besonders in größeren Installationen) hilfreich beim enrolment von RTLS-Server-Zertifikaten sein kann.

Automatisches Enrolment - wie etwa vie ACME (RFC 8555) von Let's Encrypt angeboten benutzt Challenges, die ein Antragsteller erfüllen muss, um zu zeigen, dass er tatsächlich Eigentümer der betreffenden Domain ist. Dies ist allein kein ausreichender Schutz vor Missbrauch. Daher existieren andere Ansätze, die damit kombiniert oder auch in einem nicht- automatisierten Prozess fürs Enrollment dazu beitragen können, Missbrauch zu verringern.

Eins dieser Mechanismen sind sogenannte DNS Certification Authority Authorization (CAA) Resource Record, wie sie in RFC 8659 beschrieben werden. Diese Records enthalten Informationen darüber, welcher PKI erlaubt ist, für die jeweilige Domain (und ihre Sub-Domains) Zertifikate auszustellen.

Die expect-dialog-ca bietet nunmehr ein Script an, das diese Records aus dem DNS erfragt, sie auswertet und die Informationen in einer menschenlesbaren Form aufbereitet und anzeigt. Damit hat derjenige, der über einen Antrag für ein TLS-Zertifikat entscheiden muss eine einfache Handreichung, diesen Mechanismus anzuwenden und auf dessen Basis die Entscheidung über Ausstellung oder Verweigerung des Zertifikats zu treffen.

Alle Artikel rss Wochenübersicht Monatsübersicht Github Repositories Gitlab Repositories Mastodon Über mich home xmpp


Vor 5 Jahren hier im Blog

  • Mandelbrot-Sets mittels Shadern berechnen

    17.05.2019

    Nachdem ich in den letzten verregneten Tagen auf Youtube in den Videos von Numberphile versunken bin, hat mich eines davon angestachelt, mich selbst mit dem Mandelbrotset zu beschäftigen. Als ich dann noch Code fand, der behauptete, das auf einer Graphikkarte mittels Shadern berechnen zu können, war es um mich geschehen...

    Weiterlesen...

Neueste Artikel

  • Erste Vor-Version eines Gis-Plugin für die sQLshell

    Wie bereits in einem früheren Artikel erwähnt plane ich, demnächst ein Plugin für die sQLshell anzubieten, das eine Visualisierung von Daten mit räumlichem Bezug im Stil eines Geoinformationssystems erlaubt.

    Weiterlesen...
  • bad-certificates Version 2.1.0

    Das bereits vorgestellte Projekt zur automatisierten Erzeugung von Zertifikaten mit allen möglichen Fehlern hat eine Erweiterung erfahren und verfügt über ein Partnerprojekt - beide sind nunmehr in der Version 2.1.0 freigegeben

    Weiterlesen...
  • SQLite als Geodatenbank

    Wie bereits in einem früheren Artikel beschrieben treibe ich derzeit Anstrengungen voran, die sQLshell attraktiver für Nutzer zu machen, die mit Geodatenbanken arbeiten.

    Weiterlesen...

Manche nennen es Blog, manche Web-Seite - ich schreibe hier hin und wieder über meine Erlebnisse, Rückschläge und Erleuchtungen bei meinen Hobbies.

Wer daran teilhaben und eventuell sogar davon profitieren möchte, muß damit leben, daß ich hin und wieder kleine Ausflüge in Bereiche mache, die nichts mit IT, Administration oder Softwareentwicklung zu tun haben.

Ich wünsche allen Lesern viel Spaß und hin und wieder einen kleinen AHA!-Effekt...

PS: Meine öffentlichen GitHub-Repositories findet man hier - meine öffentlichen GitLab-Repositories finden sich dagegen hier.