CAA

Deze gegevens zijn afkomstig van https://www.forumstandaardisatie.nl/open-standaarden/Caa

• Uitleg: Koppeling standaarden van Forum Standaardisatie

Over de standaard
Lijst status	Aanbevolen
Beschrijving	Controle over uitgifte van digitale certificaten
Uitleg
Nut	In de afgelopen jaren zijn er wereldwijd diverse incidenten geweest waarbij een partij PKI-certificaten kon aanvragen (en krijgen) voor andermans domeinen. Het ging hier met name om fouten in het uitgifteproces. Toepassing van de standaard CAA verkleint de kans dat iemand een certificaat kan aanvragen voor domeinen van bijvoorbeeld overheidsinstellingen of banken. De CAA-standaard biedt verder de mogelijkheid aan CA's om melding te maken van foutief aangevraagde certificaten. Hierdoor krijgen domeineigenaren meer inzicht in eventuele foutieve of frauduleuze aanvragen voor het domein.
Werking	CAA is een DNS-record dat domeineigenaren extra controle geeft over SSL-certificaten die worden uitgegeven voor diens domeinen. Met het CAA record geeft een domeineigenaar aan welke certificate authority (CA) certificaten uit mag geven voor diens domeinen. Een domein eigenaar kan dit zelf regelen zonder dat hier medewerking vanuit de CA voor nodig is. Zo kan de eigenaar van een domein zelf bepalen welke CA's certificaten mogen uitgeven voor zijn of haar domeinen. CA's moeten bij uitgifte van een certificaat verplicht het CAA record van het betreffende domein controleren. Het gebruik van CAA betekent overigens niet dat de gebruiker vastzit aan een CA. CAA is alleen effectief als het DNS waarin het CAA-record geadministreerd wordt, is beschermd met DNSSEC. Zonder DNSSEC-bescherming kan een aanvaller het DNS-verkeer omleiden, waardoor het CAA-record niet meer effectief is. De CAA-specificatie (RFC 6844) adviseert dan ook uitdrukkelijk het gebruik van CAA in combinatie met DNSSEC.
Waarvoor geldt de verplichting
Aanvullende verplichtingen
Trefwoorden	Netwerk, Website, Informatiebeveiliging
Detailinformatie
Beheerorganisatie	IETF
Uitstekend beheer	Nee
Specificatiedocument	https://tools.ietf.org/html/rfc8659
Volledige naam	Certification Authority Authorization Resource Record
Versie	RFC 8659
Inkoop
Aandachtspunten
Sjabloon-bestektekst
CPV-code(s)
Implementatie
Conformiteitstest
Domein	Veilig internet
Relatie met andere standaarden	DNS DNSSEC STARTTLS en DANE TLS HTTPS en HSTS
Toelichting
Toetsingsinformatie
Hulpmiddelen
Functioneel toepassingsgebied
Organisatorisch werkingsgebied	Nederlandse overheden (Rijk, provincies, gemeenten en waterschappen) en instellingen uit de (semi-) publieke sector.
Toelichting bij opname	Toepassing van de standaard CAA verkleint de kans dat iemand onterecht een certificaat kan verkrijgen voor domeinen van bijvoorbeeld overheidsinstellingen of banken. CAA heeft echter ook beperkingen, het gaat uit van het vertrouwen in de CA: een kwaadwillende CA kan CAA immers ook negeren. De suggestie kan worden gewekt dat CAA voldoende bescherming biedt maar dit is slechts beperkt en dat CAA hiervoor het enige middel is, wat niet het geval is. Gegeven de onderzochte beperkte toegevoegde waarde van de standaard is een aanbevolen standaard een passend middel om adoptie te bevorderen.
Datum van aanmelding	2018-10-28
Datum van besluit	2020-07-09
Europese status (MSP)	Nee
Documentatie
Forum-Adviezen
Advies aan beheerder
Adoptieadviezen	Aan Logius: Maak een implementatiehandleiding (met voorbeeld) hoe op de juiste manier een CAA-record opgenomen kan worden voor PKI-overheidscertificaten, met de duidelijke verwijzing naar de te gebruiken referenties. Beschrijf daarbij ook de verschillende mogelijkheden en de implicaties van die mogelijkheden. Maak duidelijk wat de mogelijke consequentie(s) is (zijn) bij het foutief configureren van een CAA-record. Zoals bijvoorbeeld dat het heruitgeven of verlengen van een certificaat door dezelfde CA geblokkeerd worden. Aan Internet.nl: Voeg de mogelijkheid op controle van een CAA-record toe op Internet.nl. Aan alle overheden: Hanteer bij de implementatie van CAA de beveiligingsadviezen van het NCSC. Aan DPC:Zodra internet.nl op CAA-ondersteuning kan testen en de standaard op de lijst aanbevolen standaarden staat: Breid de gepubliceerde testresultaten in het publieke websiteregister van de Rijksoverheid (http://websiteregisterrijksoverheid.nl/) uit met CAA- scores
Leveranciers

bijlagen:

• Consultatiedocument-CAA.pdf (Consultatie,https://www.forumstandaardisatie.nl/sites/default/files/Downloads/Bijlagen OS/CAA/Consultatiedocument-CAA.pdf,PDF Document)
• Expertadvies-CAA.pdf (Expertadvies,https://www.forumstandaardisatie.nl/sites/default/files/Downloads/Bijlagen OS/CAA/Expertadvies-CAA.pdf,PDF Document)
• FS181212.3B-Intakeadvies-CAA.pdf (Intakeadvies,https://www.forumstandaardisatie.nl/sites/default/files/Downloads/Bijlagen OS/CAA/FS181212.3B-Intakeadvies-CAA.pdf,PDF Document)
• Forumadvies-CAA.pdf (Forumadvies,https://www.forumstandaardisatie.nl/sites/default/files/2020-06/Forumadvies-CAA.pdf,PDF Document)

Copyright

Door Forum Standaardisatie vrijgegeven onder Creative Commons zero

Iedere persoon, organisatie of functionele eenheid die gebruik maakt van een informatiesysteem

De omschrijving van het functionele gebruik van de voorziening

Het domein (organisatorisch, taakvelden) binnen de overheid waarin het element (principe, standaard, voorziening..) wordt of kan worden toegepast. Bijvoorbeeld: gemeenten, provincies, waterschappen, Rijk, zorginstellingen, primair onderwijs.

Weergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat.