Zusammenfassung

  • Der IETF-Entwurf dns-account-01 liegt bis zum 10. November im Last Call und sieht für jedes ACME-Konto einen eigenen DNS-Prüfnamen vor.
  • So könnten alte und neue Cloud-Umgebungen zugleich Zertifikate für dieselbe Domain anfordern, ohne sich einen delegierten CNAME teilen zu müssen.

Ein Umzug zwischen zwei Rechenzentren endet selten mit einem sauberen Schnitt. Die alte Anlage läuft weiter, die neue übernimmt schrittweise, beide brauchen gültige Zertifikate. Beim üblichen dns-01 aus RFC 8555 landet die Prüfung unter _acme-challenge. Soll jedes Team diesen Namen per CNAME an seinen eigenen Prüfdienst delegieren, steht plötzlich nur ein Platz zur Verfügung. Zwei Notfallpläne klingeln an derselben Tür.

Der Entwurf der ACME-Arbeitsgruppe teilt die Adresse auf. Vor _acme-challenge steht künftig ein aus der URL des jeweiligen ACME-Kontos abgeleitetes Label. Der Server entnimmt die Konto-ID dem signierten Antrag, berechnet den erwarteten DNS-Namen und prüft dort den TXT-Wert für die aktuelle Aufgabe. Jedes Konto erhält damit seinen eigenen Antwortplatz unter derselben Domain.

Das Verfahren ist genau beschrieben: SHA-256 über die vollständige Konto-URL, die ersten zehn Bytes, anschließend Base32. Das Label hängt an der Konto-URL und übersteht daher einen gewöhnlichen Wechsel des Kontoschlüssels. Der TXT-Inhalt bleibt an den neuen Challenge-Token und den Kontoschlüssel gebunden. Eine feste Adresse bedeutet also nicht eine feste Antwort.

Für Betreiber mit mehreren Regionen, CDNs oder Cloud-Diensten ist diese Trennung handfest. Sie können ihre Zertifikatswege vorbereiten, ohne beim Wechsel jeweils den DNS-Eintrag des anderen umzubauen. Gleichzeitig wächst die Zahl der Stellen, an denen ein berechtigtes Konto eine Validierung beantworten kann. Wer hat dem Ausweichstandort seine Adresse gegeben? Wer entfernt die des ehemaligen Dienstleisters? Eine abgeschlossene Vertragsakte hat noch keinen DNS-Eintrag gelöscht.

Der Entwurf benennt zudem einen Umzugsfehler aufseiten des ACME-Dienstes. Ändert sich die Konto-URL durch einen neuen Hostnamen, Pfad, ein anderes Schema oder einen Port, passen vorbereitete Labels womöglich nicht mehr. Der Text rät zu stabilen Kennungen und zur weiteren Annahme früherer URLs, wenn ein Dienst umzieht. Nach einer abgeschlossenen Prüfung sollen Clients die TXT-Werte entfernen.

Laut IETF-Datatracker trägt die Fassung -04 das Datum 27. Oktober; die öffentliche Schlussprüfung läuft bis 10. November. Bei Annahme käme dns-account-01 in das IANA-Verzeichnis der ACME-Prüfmethoden. Noch hängt die zweite Klingel am Entwurfsbrett.