česky | cymraeg | deutsch | english | español | français | nederlands | português --- noch mehr Schritt-für-Schritt-Anleitungen
Validierung der Fingerprints der Stammzertifikate mit DNSSEC
Zur Validerung der heruntergeladenen Stammzertifikate können DNSSEC-gesicherte TXT-Records in der Domain cacert.org genutzt werden.
Der Namensraum _fp.cacert.org. ist für Fingerprints unserer Stammzertifikate reserviert. Dank DNSSEC können hier authentifizierte Kopien der Fingerprints heruntergeladen werden. Die nötigen URLs für den Download sind ebenfalls hinterlegt. Für jede Generation unserer Root-Zertifikate (bisher existiert nur Generation 1 ("g1")) existiert ein Unterbaum. Verfügbare Zertifikate jeder Generation stehen als TXT-Record _certs zur Verfügung: _certs.g1._fp.cacert.org. liefert einem "root class3" Mit diesen Namen können jeweils _url (Download-Link), _md5, _sha1, _sha256 (Fingerprint in Großbuchstaben, ohne Trennzeichen) abgefragt werden.
Den Link zum Root-Zertifikat bekommt man via TXT-Record unter _url.root_X0F.g1._fp.cacert.org. und kann den zugehörigen SHA256-Fingerprint abrufen im TXT-Record unter _sha256.root_X0F.g1._fp.cacert.org.
Hier ein Beispiel für die Validierung unter Linux. Für die produktive Nutzung IST sicherstellen, dass die beiden DNS-Records vor Verwendung validiert werden. Dies kann durch die Installation eines Validating Stub Resolver erreicht werden [1, 2]. Hierbei sollten in jedem Fall auch die Hinweise zum Thema DNSSEC-Setup der jeweiligen Distribution beachtet werden.
$ host -t TXT _url.root_X0F.g1._fp.cacert.org. _url.root_X0F.g1._fp.cacert.org descriptive text "http://www.cacert.org/certs/root_X0F.crt" $ host -t TXT _sha256.root_X0F.g1._fp.cacert.org. _sha256.root_X0F.g1._fp.cacert.org descriptive text "07EDBD824A4988CFEF4215DA20D48C2B41D71529D7C900F570926F277CC230C5" $ wget -O root_X0F.crt 'http://www.cacert.org/certs/root_X0F.crt' $ openssl x509 -in root_X0F.crt -noout -fingerprint -sha256 | tr -d : SHA256 Fingerprint=07EDBD824A4988CFEF4215DA20D48C2B41D71529D7C900F570926F277CC230C5
[1] [http://askubuntu.com/questions/51367/how-do-i-configure-my-caching-nameserver-to-validate-dnssec]
[2] [https://wiki.debian.org/DNSSEC]