Was ist Certificate Transparency?
Jedes seit 2018 ausgestellte, öffentlich vertrauenswürdige TLS-Zertifikat muss in einem öffentlichen, manipulationssicheren Protokoll erfasst sein, bevor Browser es akzeptieren. Dieses Protokoll ist durchsuchbar — und verrät oft mehr über eine Domain, als ihrem Inhaber lieb ist.
Was CT-Logs sind
Certificate-Transparency-Logs (CT) sind append-only, kryptografisch überprüfbare Protokolle, die von mehreren unabhängigen Betreibern geführt werden (Google, DigiCert, Sectigo und andere). Stellt eine Zertifizierungsstelle ein öffentlich vertrauenswürdiges Zertifikat aus, reicht sie es bei einem oder mehreren dieser Logs ein und erhält einen Signed Certificate Timestamp (SCT) als Nachweis. Chrome und andere große Browser vertrauen einem Zertifikat ohne gültiges SCT nicht.
Warum es CT-Logs gibt
Vor CT konnte eine kompromittierte oder nachlässige Zertifizierungsstelle ein Zertifikat für Ihre Domain ausstellen, ohne dass Sie es je erfahren hätten — das erste Anzeichen für Ärger wäre vielleicht eine Phishing-Seite mit einem völlig gültigen, vom Browser als vertrauenswürdig eingestuften Zertifikat gewesen. CT macht jede Ausstellung öffentlich und dauerhaft, sodass ein Domain-Inhaber (oder jemand, der in seinem Auftrag überwacht) die Logs durchsuchen und nicht autorisierte Zertifikate entdecken kann.
Was eine CT-Suche zeigt
Eine CT-Log-Suche nach einer Domain liefert jede Subdomain, für die jemals ein öffentlich vertrauenswürdiges Zertifikat ausgestellt wurde — einschließlich Wildcard-Zertifikaten, kurzlebiger Zertifikate automatisierter Aussteller wie Let's Encrypt und Subdomains, die nur vorübergehend gedacht waren. Das macht die CT-Suche zu einer der zuverlässigsten Methoden, den tatsächlichen Subdomain-Bestand einer Domain zu entdecken, da sie nicht davon abhängt, ob die Domain bereit ist, DNS-Anfragen dazu zu beantworten.
Der Kompromiss: dauerhaft und öffentlich
CT-Logs lassen sich im Nachhinein weder bearbeiten noch entfernen — genau das ist ihr Zweck. Das bedeutet, ein für staging-internal.example.com oder admin-panel.example.com ausgestelltes Zertifikat bleibt für immer öffentlich auffindbar, selbst wenn die Subdomain später gelöscht wird. Behandeln Sie CT-Logs als gegebene Tatsache: Gehen Sie nie davon aus, ein Hostname sei privat, nur weil sein DNS nicht öffentlich auflistbar ist — hatte er je ein öffentliches TLS-Zertifikat, steht er im Log.
Certificate-Transparency-Logs durchsuchen
Sehen Sie die Theorie in der Praxis — führen Sie Certificate-Transparency-Suche für Ihre eigene Domain aus.