Czym jest Certificate Transparency?

Czym są logi CT

Logi Certificate Transparency (CT) to tylko-do-dopisywania, kryptograficznie weryfikowalne rejestry prowadzone przez wielu niezależnych operatorów (Google, DigiCert, Sectigo i innych). Gdy urząd certyfikacji wystawia publicznie zaufany certyfikat, zgłasza go do jednego lub kilku takich logów i otrzymuje Signed Certificate Timestamp (SCT) potwierdzający zgłoszenie. Chrome i inne główne przeglądarki odmawiają zaufania certyfikatowi bez ważnego SCT.

Po co istnieją logi CT

Przed CT skompromitowany lub niedbały urząd certyfikacji mógł wystawić certyfikat dla Twojej domeny bez Twojej wiedzy — pierwszym sygnałem problemu mogła być strona phishingowa z całkowicie ważnym, zaufanym przez przeglądarkę certyfikatem. CT sprawia, że każde wystawienie jest publiczne i trwałe, więc właściciel domeny (lub ktoś monitorujący w jego imieniu) może przeszukać logi i wychwycić nieautoryzowane certyfikaty.

Co ujawnia wyszukiwanie w CT

Wyszukanie domeny w logach CT zwraca każdą subdomenę, dla której kiedykolwiek wystawiono publicznie zaufany certyfikat — w tym certyfikaty wildcard, krótkotrwałe certyfikaty z automatycznych urzędów jak Let's Encrypt, oraz subdomeny, które miały być tylko tymczasowe. Dzięki temu wyszukiwanie CT jest jednym z najbardziej wiarygodnych sposobów odkrycia rzeczywistego zasięgu subdomen domeny, bo nie zależy od tego, czy domena zgadza się odpowiadać na zapytania DNS na jej temat.

Kompromis: trwałe i publiczne

Logów CT nie da się później edytować ani z nich usunąć — ta niezmienność jest właśnie sensem ich istnienia. Oznacza to, że certyfikat wystawiony dla staging-internal.example.com czy admin-panel.example.com pozostaje publicznie wyszukiwalny na zawsze, nawet jeśli subdomena zostanie później usunięta. Traktuj logi CT jak fakt: nigdy nie zakładaj, że nazwa hosta jest prywatna tylko dlatego, że jej DNS nie jest publicznie przeszukiwalny — jeśli kiedykolwiek miała publiczny certyfikat TLS, jest w logu.

Przeszukaj logi Certificate Transparency