Wat is Certificate Transparency?
Elk sinds 2018 uitgegeven, openbaar vertrouwd TLS-certificaat moet worden vastgelegd in een openbaar, manipulatiebestendig logboek voordat browsers het accepteren. Dat logboek is doorzoekbaar — en onthult vaak meer over een domein dan de eigenaar bedoelde.
Wat CT-logs zijn
Certificate Transparency-logs (CT) zijn alleen-toevoegen, cryptografisch verifieerbare registers die worden beheerd door meerdere onafhankelijke operators (Google, DigiCert, Sectigo en anderen). Wanneer een certificaatautoriteit een openbaar vertrouwd certificaat uitgeeft, dient ze dit in bij een of meer van deze logs en ontvangt ze een Signed Certificate Timestamp (SCT) als bewijs. Chrome en andere grote browsers vertrouwen een certificaat zonder geldige SCT niet.
Waarom CT-logs bestaan
Vóór CT kon een gecompromitteerde of onzorgvuldige certificaatautoriteit een certificaat voor uw domein uitgeven zonder dat u het ooit zou merken — het eerste teken van problemen kon een phishingsite zijn met een volkomen geldig, door de browser vertrouwd certificaat. CT maakt elke uitgifte openbaar en permanent, zodat een domeineigenaar (of iemand die namens hem controleert) de logs kan doorzoeken en niet-geautoriseerde certificaten kan opsporen.
Wat een CT-zoekopdracht onthult
Het doorzoeken van CT-logs voor een domein levert elk subdomein op waarvoor ooit een openbaar vertrouwd certificaat is uitgegeven — inclusief wildcardcertificaten, kortlevende certificaten van geautomatiseerde uitgevers zoals Let's Encrypt, en subdomeinen die alleen tijdelijk bedoeld waren. Dit maakt CT-zoeken een van de betrouwbaarste manieren om de werkelijke subdomeinvoetafdruk van een domein te ontdekken, omdat het niet afhankelijk is van de bereidheid van het domein om DNS-vragen erover te beantwoorden.
De afweging: permanent en openbaar
CT-logs kunnen achteraf niet worden bewerkt of verwijderd — die onveranderlijkheid is precies het doel ervan. Dit betekent dat een certificaat uitgegeven voor staging-internal.example.com of admin-panel.example.com voor altijd openbaar doorzoekbaar blijft, zelfs als het subdomein later wordt verwijderd. Behandel CT-logs als een gegeven: ga er nooit van uit dat een hostnaam privé is enkel omdat de DNS ervoor niet openbaar op te sommen is — als er ooit een openbaar TLS-certificaat voor was, staat het in het logboek.
Doorzoek Certificate Transparency-logs
Zie de theorie in de praktijk — voer Certificate Transparency-zoekfunctie uit voor je eigen domein.