O que é o Certificate Transparency?
Todo certificado TLS de confiança pública emitido desde 2018 tem de ficar registado num registo público e à prova de adulteração antes de os navegadores o aceitarem. Esse registo é pesquisável — e muitas vezes revela mais sobre um domínio do que o seu titular pretendia.
O que são os registos CT
Os registos de Certificate Transparency (CT) são registos apenas de adição, verificáveis criptograficamente, geridos por vários operadores independentes (Google, DigiCert, Sectigo e outros). Quando uma autoridade de certificação emite um certificado de confiança pública, submete-o a um ou mais destes registos e recebe um Signed Certificate Timestamp (SCT) que prova essa submissão. O Chrome e outros grandes navegadores recusam-se a confiar num certificado sem um SCT válido.
Por que existem os registos CT
Antes do CT, uma autoridade de certificação comprometida ou descuidada podia emitir um certificado para o seu domínio sem que alguma vez o soubesse — o primeiro sinal de problemas podia ser um site de phishing com um certificado perfeitamente válido e de confiança para o navegador. O CT torna cada emissão pública e permanente, para que o titular de um domínio (ou quem o monitoriza em seu nome) possa pesquisar os registos e detetar certificados não autorizados.
O que uma pesquisa CT revela
Pesquisar um domínio nos registos CT devolve todos os subdomínios que alguma vez tiveram um certificado de confiança pública emitido — incluindo certificados wildcard, certificados de curta duração de emissores automatizados como o Let's Encrypt, e subdomínios que se destinavam apenas a ser temporários. Isto torna a pesquisa CT uma das formas mais fiáveis de descobrir a verdadeira presença de subdomínios de um domínio, já que não depende de o domínio estar disposto a responder a consultas DNS sobre isso.
O compromisso: permanente e público
Os registos CT não podem ser editados nem removidos posteriormente — essa imutabilidade é precisamente o seu propósito. Isto significa que um certificado emitido para staging-internal.example.com ou admin-panel.example.com permanece pesquisável publicamente para sempre, mesmo que o subdomínio seja depois eliminado. Trate os registos CT como um facto consumado: nunca assuma que um nome de anfitrião é privado só porque o seu DNS não é publicamente enumerável — se alguma vez teve um certificado TLS público, está no registo.
Pesquise nos registos de Certificate Transparency
Veja a teoria na prática — execute Pesquisa em Certificate Transparency para o seu próprio domínio.