Cos'è il Certificate Transparency?
Ogni certificato TLS pubblicamente attendibile emesso dal 2018 deve essere registrato in un log pubblico e a prova di manomissione prima che i browser lo accettino. Quel log è consultabile — e spesso rivela più di quanto il proprietario del dominio vorrebbe.
Cosa sono i log CT
I log di Certificate Transparency (CT) sono registri append-only, verificabili crittograficamente, gestiti da più operatori indipendenti (Google, DigiCert, Sectigo e altri). Quando un'autorità di certificazione emette un certificato pubblicamente attendibile, lo invia a uno o più di questi log e riceve un Signed Certificate Timestamp (SCT) che ne prova l'invio. Chrome e gli altri browser principali rifiutano di fidarsi di un certificato privo di un SCT valido.
Perché esistono i log CT
Prima del CT, un'autorità di certificazione compromessa o negligente poteva emettere un certificato per il tuo dominio senza che tu lo scoprissi mai — il primo segnale di un problema poteva essere un sito di phishing con un certificato perfettamente valido e attendibile per il browser. Il CT rende ogni emissione pubblica e permanente, così il proprietario di un dominio (o chi lo monitora per suo conto) può consultare i log e individuare certificati non autorizzati.
Cosa rivela una ricerca CT
Cercare un dominio nei log CT restituisce ogni sottodominio a cui sia mai stato emesso un certificato pubblicamente attendibile — inclusi i certificati wildcard, quelli di breve durata di emittenti automatizzati come Let's Encrypt, e i sottodomini pensati come solo temporanei. Questo rende la ricerca CT uno dei modi più affidabili per scoprire la reale estensione dei sottodomini di un dominio, poiché non dipende dalla disponibilità del dominio a rispondere a query DNS al riguardo.
Il compromesso: permanente e pubblico
I log CT non possono essere modificati né rimossi in seguito — quell'immutabilità è proprio il loro scopo. Ciò significa che un certificato emesso per staging-internal.example.com o admin-panel.example.com resta pubblicamente ricercabile per sempre, anche se il sottodominio viene poi eliminato. Considera i log CT un dato di fatto: non dare mai per scontato che un hostname sia privato solo perché il suo DNS non è pubblicamente enumerabile — se ha mai avuto un certificato TLS pubblico, è nel log.
Cerca nei log di Certificate Transparency
Vedi la teoria in pratica: esegui Ricerca in Certificate Transparency sul tuo dominio.