เพิ่มการตรวจสอบ Domain Name System Security Extensions (DNSSEC) ในขั้นตอนการออก SSL/TLS Certificate.
ล่าสุด ตามการประกาศและโหวตจาก CA/B Forum ใน Ballot SC-085v2: Require Validation of DNSSEC (when present) for CAA and DCV Lookups
มีมติให้ตรวจสอบ DNSSEC ในขั้นตอนการทำ Domain Control Validation (DCV) ก่อนเสมอ ก่อนที่จะตรวจสอบ CAA Record และทำการออกใบรับรองให้กับผู้ใช้งาน
อ่านเพิ่มเติม DNSSEC คืออะไร เพิ่มความปลอดภัยให้ Domain ด้วย DNSSEC
🔐 การเปลี่ยนแปลงและข้อควรทราบ
Domain ใดก็ตามที่ต้องการสั่งซื้อ SSL/TLS Certificate จะต้องถูกตรวจสอบก่อนทุกครั้งว่ามีการเปิดฟีเจอร์ DNSSEC ไว้หรือไม่
หากเปิดแล้ว มีการตั้งค่าถูกต้องหรือไม่ ซึ่งถ้าตั้งค่าไม่ถูกต้อง ระบบจะไม่สามารถออก SSL/TLS Certificate ให้ท่านได้
✅ ล่าสุด
ทาง DigiCert มีการประกาศให้ตั้งแต่วันที่ 3 มีนาคม
จะเริ่มดำเนินการตรวจสอบ DNSSEC ของโดเมนทุกครั้งที่มีการสั่งซื้อ และดำเนินการตามขั้นตอนตามลำดับ
จะเริ่มดำเนินการตรวจสอบ DNSSEC ของโดเมนทุกครั้งที่มีการสั่งซื้อ และดำเนินการตามขั้นตอนตามลำดับ
📄 ผลิตภัณฑ์ที่โดนผลกระทบ
- Public TLS certificates (DV, OV, and EV)
- X9 PKI for TLS certificate
- EU Qualified Website Authentication Certificate (QWAC)
- EU Qualified Website Authentication Certificate PSD2
- PKIoverheid Private Services Server certificate
- Secure Email (S/MIME) certificates
⏳ ข้อควรทราบและสิ่งที่ควรดำเนินการ
- สำหรับ Domain ที่สั่งซื้อ หากไม่ได้เปิด DNSSEC สามารถสั่งซื้อได้ตามปกติ และการตรวจสอบในส่วนนี้จะถูกข้ามไป
- สำหรับ Domain ใดก็ตาม หากไม่ได้เปิด DNSSEC จะถูกตรวจสอบ CAA Record เป็นลำดับขั้นถัดไป ไม่ได้ถูกยกเว้นแต่อย่างใด
- หากท่านไม่ได้เปิด DNSSEC และไม่มีการระบุค่า CAA Record การตรวจสอบส่วนนี้จะถูกข้ามไป ยังสามารถออก SSL/TLS Certificate ได้ตามปกติ
ข้อแนะนำในการดำเนินการ เมื่อสั่งซื้อ SSL/TLS Certificate
- แนะนำให้ตรวจสอบสถานะของ Domain ของท่านก่อนสั่งซื้อ SSL/TLS Certificate ว่ามีการเปิดฟีเจอร์ DNSSEC ไว้หรือไม่
- หากมีการเปิดการใช้งานฟีเจอร์ DNSSEC ไว้ ตรวจสอบว่ามีการตั้งค่าไว้ได้อย่างถูกต้องหรือไม่
สามารถตรวจสอบสถานะของ DNSSEC ได้ที่ DigiCert DNSSEC Health tool: https://dnssec.health
❌ New Certificate Issuing Service (CIS) DNSSEC error codeร
ในกรณีที่ท่านมีการสั่งซื้อด้วยตนเอง อาจจะเจอ Error Code ในการสั่งซื้อ หรือ ต่ออายุ SSL/TLS Certificate ได้
โดยตั้งแต่ 12 มีนาคม เป็นต้นไป ทาง DigiCer จะเริ่มใช้งาน Error Code ดังกล่าวเพิ่มเติม
Error code: caa_dnssec_error
Error message structure: FQDN;DNSSEC_STATUS;DNSSEC_ERROR(if applicable), multiple FQDNs separated by ",".
แน่นอนว่า หากคุณได้รับ Error เหล่านี้ในการใช้งาน จำเป็นจะต้องอัพเดท DNSSEC สำหรับ Domain ของคุณให้ถูกต้อง
Table 1. DNSSEC_STATUS
| DNSSEC_STATUS | Description |
| SECURE | DNSSEC validation succeeded - answer is signed and valid. |
| INSECURE | Domain doesn't use DNSSEC. |
| BOGUS | DNSSEC validation failed - invalid signatures/chain. |
| INDETERMINATE | DNSSEC validation couldn't complete (timeout, network error). |
Table 2. DNSSEC_ERROR
| DNSSEC_ERROR | Description |
| DNSKEY_MISSING | DNSKEY record is missing. |
| DNSSEC_BOGUS | DNSSEC validation resulted in BOGUS status. |
| NSEC_MISSING | NSEC/NSEC3 proof of non-existence is missing. |
| RSIGS_MISSING | No RRSIG records found covering the required RRsets. |
| IO_EXCEPTION | Timeout or connection error received during DNSSEC validation |
| OTHER | Other DNSSEC error. |
Sample DNSSEC error response | |
Link อ้างอิงบทความ
----------------------------------------------------------------------------------------------------------------------------------------------------Netway Communication ให้บริการด้าน Cloud, Hosting และ IT พื้นฐานสำหรับธุรกิจ เป็นตัวแทนแบรนด์ไอทีชั้นนำมากมาย ทั้ง Microsoft, Google, Digicert, ฯลฯ เรามีเจ้าหน้าที่พร้อมดูแลคุณ 24 ชม. ติดต่อเราเพื่อสอบถามผลิตภัณฑ์ ขอราคา หรือปรึกษาเรื่องไอที ได้เลยค่ะ
Line : @netway (มี @ ด้านหน้า) หรือ https://bit.ly/line-netway
Facebook : m.me/netway.offcial
Tel : 02-055-1095
Email : support@netway.co.th
Web Chat : https://netway.co.th/
Netway Communication ให้บริการด้าน Cloud, Hosting และ IT พื้นฐานสำหรับธุรกิจ เป็นตัวแทนแบรนด์ไอทีชั้นนำมากมาย ทั้ง Microsoft, Google, Digicert, ฯลฯ เรามีเจ้าหน้าที่พร้อมดูแลคุณ 24 ชม. ติดต่อเราเพื่อสอบถามผลิตภัณฑ์ ขอราคา หรือปรึกษาเรื่องไอที ได้เลยค่ะ
Line : @netway (มี @ ด้านหน้า) หรือ https://bit.ly/line-netway
Facebook : m.me/netway.offcial
Tel : 02-055-1095
Email : support@netway.co.th
Web Chat : https://netway.co.th/
