Domain doğrulama, sertifika güvenliğinin temelidir; bu adımdaki zayıflıklar kötü niyetli birinin sizin adınıza sertifika almasına yol açabilir. Riskler genellikle teknik olmaktan çok işletimsel hatalardan doğar.
Başlıca riskler
- Sahipsiz (dangling) DNS kayıtları: Silinmiş bir buluta veya hizmete işaret eden CNAME, başkasının o kaynağı talep ederek sizin alt alan adınızı kontrol etmesine (subdomain takeover) izin verebilir. Bu kişi HTTP doğrulamasını geçebilir.
- Onay e-posta adresleri: admin@, postmaster@ gibi adresleri yabancı bir kişi ya da terk edilmiş bir posta sunucusu alabilir.
- Ele geçirilmiş DNS hesabı: Panel erişimi olan saldırgan, doğrulama kaydı ekleyip sertifika isteyebilir.
- Açıkta kalan doğrulama kayıtları: Süresi dolmuş token'ların yıllarca bırakılması bilgi sızdırır ve karmaşa yaratır.
Alınabilecek önlemler
- Kullanılmayan DNS kayıtlarını düzenli denetleyin ve sahipsiz CNAME'leri silin.
- DNS ve registrar hesaplarında çok faktörlü kimlik doğrulama (2FA) zorunlu kılın.
- CAA kaydı ekleyerek yalnızca kullandığınız CA'ların sertifika vermesine izin verin.
- Posta sunucunuz için onay adreslerinin gerçekten sizde olduğunu doğrulayın; gerektiğinde DNS yöntemine geçin.
- Sertifika şeffaflık (CT) kayıtlarını izleyerek alan adınız için beklenmedik sertifikaları yakalayın.
ornek.com. IN CAA 0 issue "sertifikaotoritesi.com"
ornek.com. IN CAA 0 iodef "mailto:guvenlik@ornek.com"Sonuç
Doğrulama kayıtlarını iş bittikten sonra kaldırmak, hesap güvenliğini sağlamak ve CAA ile CT izlemeyi birlikte kullanmak, riskin büyük kısmını azaltır. Kendi sertifikalarınızı görüntülemek için SSL kontrol aracını, yeni sertifika için SSL ürünlerini kullanabilirsiniz.