CAAレコードとは？

CAAレコードの意味

そのドメインの証明書を発行してよい認証局をDNSで宣言するリソースレコード。CAは発行前にCAAを確認し、自分が許可されていなければ発行しない。ドメイン所有者の意図しない証明書の誤発行・不正発行を抑止する。

CAAレコードの具体例

example.jp. CAA 0 issue "example-ca.com" と設定すれば、他社CAは原則としてexample.jp向け証明書を発行しない。

CAAレコードは試験でどう引っ掛けられる？

CAAは「発行を技術的に不可能にする」ものではなく、CA側の遵守を前提とした宣言。既に発行済みの証明書を無効化する効果もない。

CAAレコードと関連する用語

• DNSSEC
• 認証局
• 証明書の透明性

CAAレコードが出た過去問

• DNSにおいてDNS CAA(Certification Authority Authorization)レコードを使うことによるセキュリティ上の効果はどれか。

  正解：不正なサーバ証明書の発行を防ぐ。

  要点：CAAは証明書を発行してよいCAをDNSで宣言する

  CAAレコードは、そのドメインに対してサーバ証明書を発行してよい認証局をDNS上で宣言するためのリソースレコードである。認証局は証明書発行の前にCAAを参照する義務があり、自局が許可されていなければ発行を拒否する。これにより、ドメイン所有者の意図しない認証局から不正な証明書が発行されるリスクを下げられる。

  出典：令和3年度 春期 情報処理安全確保支援士試験 am2 問10（IPA）

• DNSにおいてDNS CAA(Certification Authority Authorization)レコードを設定することによるセキュリティ上の効果はどれ…

  正解：不正なサーバ証明書の発行を防ぐ。

  要点：CAAレコードは証明書を発行してよい認証局をDNSで限定する

  CAAレコードは、そのドメイン名に対してサーバ証明書を発行してよい認証局をDNSで宣言するものである。認証局は発行前にCAAを参照する義務があり、自分が許可されていなければ発行を拒否する。これにより、ドメイン所有者が意図しない認証局から誤った証明書や不正な証明書が発行されるリスクを抑えられる。

  出典：令和6年度 春期 情報処理安全確保支援士試験 am2 問15（IPA）