Qu'est-ce que Certificate Transparency ?
Tout certificat TLS de confiance publique émis depuis 2018 doit être consigné dans un journal public et infalsifiable avant que les navigateurs ne l'acceptent. Ce journal est consultable — et révèle souvent plus qu'un propriétaire de domaine ne le voudrait.
Ce que sont les journaux CT
Les journaux Certificate Transparency (CT) sont des registres à ajout seul, vérifiables cryptographiquement, tenus par plusieurs opérateurs indépendants (Google, DigiCert, Sectigo et d'autres). Lorsqu'une autorité de certification émet un certificat de confiance publique, elle le soumet à un ou plusieurs de ces journaux et reçoit un Signed Certificate Timestamp (SCT) prouvant cette soumission. Chrome et les autres grands navigateurs refusent de faire confiance à un certificat sans SCT valide.
Pourquoi les journaux CT existent
Avant CT, une autorité de certification compromise ou négligente pouvait émettre un certificat pour votre domaine sans que vous le sachiez jamais — le premier signe de problème aurait pu être un site de phishing avec un certificat parfaitement valide et approuvé par le navigateur. CT rend chaque émission publique et permanente, de sorte qu'un propriétaire de domaine (ou toute personne qui surveille en son nom) puisse consulter les journaux et repérer des certificats non autorisés.
Ce que révèle une recherche CT
Rechercher un domaine dans les journaux CT renvoie chaque sous-domaine ayant déjà reçu un certificat de confiance publique — y compris les certificats génériques (wildcard), les certificats de courte durée d'émetteurs automatisés comme Let's Encrypt, et les sous-domaines qui ne devaient être que temporaires. Cela fait de la recherche CT l'un des moyens les plus fiables de découvrir l'empreinte réelle des sous-domaines d'un domaine, puisqu'elle ne dépend pas de la volonté du domaine de répondre aux requêtes DNS le concernant.
Le compromis : permanent et public
Les journaux CT ne peuvent être ni modifiés ni supprimés après coup — cette immuabilité est précisément leur raison d'être. Cela signifie qu'un certificat émis pour staging-internal.example.com ou admin-panel.example.com reste consultable publiquement pour toujours, même si le sous-domaine est supprimé par la suite. Traitez les journaux CT comme un fait acquis : ne présumez jamais qu'un nom d'hôte est privé simplement parce que son DNS n'est pas énumérable publiquement — s'il a déjà eu un certificat TLS public, il figure dans le journal.
Rechercher dans les journaux Certificate Transparency
Voyez la théorie en pratique — lancez Recherche Certificate Transparency pour votre propre domaine.