Vad är certifikattransparens (CT)?

Certifikattransparens (CT) är ett öppet ramverk, definierat i RFC 9162, som kräver att offentligt betrodda TLS-certifikat loggas i offentliga, endast tilläggsbaserade, kryptografiskt verifierbara loggar så att felaktigt utfärdade eller bedrägliga certifikat snabbt kan upptäckas.

Certifikattransparens kräver att alla offentligt betrodda TLS-certifikat registreras i en offentlig CT-logg innan webbläsare accepterar det. Detta gör det möjligt för domänägare, säkerhetsforskare och övervakningstjänster att upptäcka certifikat som utfärdats för deras domän utan deras vetskap, vilket minskar det upptäcktsluckor som lät tidigare CA- komprometter gå obemärkta förbi i månader.

Key Takeaways

• CT definieras i RFC 9162 och kräver en Signed Certificate Timestamp (SCT) som bevis på loggning innan större webbläsare litar på ett offentligt TLS-certifikat.
• CT-loggar kan endast läggas till och är kryptografiskt verifierbara med hjälp av en Merkle-trädstruktur, vilket innebär att ingen post kan ändras eller tas bort i tysthet när den väl har loggats.
• CT skapades till stor del som svar på CA-kompromisser som DigiNotar 2011, där bedrägliga certifikat förblev oupptäckta tills verklig skada var skedd.
• Domänägare kan övervaka CT-loggar för alla certifikat som utfärdats för deras domän och upptäcka felaktigt utfärdade eller obehöriga certifikat inom timmar istället för månader.
• Stora webbläsare, inklusive Chrome, kräver CT-efterlevnad (en giltig SCT) för alla offentligt betrodda TLS-certifikat, vilket i praktiken gör det obligatoriskt för offentliga webbplatser.

Hur fungerar en logg för certifikattransparens?

1. En certifikatutfärdare skickar in ett nyligen utfärdat certifikat, eller ett förcertifikat, till en eller flera CT-loggar.
2. Loggen lägger till certifikatet som ett nytt blad i en Merkle-trädstruktur och returnerar en tidsstämpel för signerat certifikat (SCT).
3. CA bäddar in SCT:n i det slutliga certifikatet (eller levererar det via OCSP-häftning eller en TLS-tillägg).
4. När en webbläsare ansluter till webbplatsen kontrollerar den om det finns ett giltigt SCT-certifikat och bekräftar att certifikatet har loggats korrekt.
5. Vem som helst, inklusive domänägare och forskare, kan fråga den offentliga loggen för att se alla certifikat som någonsin utfärdats för en viss domän.

Varför skapades certifikattransparens?

Certifikattransparens uppstod till stor del som svar på verkliga CA-komprometter, framför allt DigiNotar-intrånget 2011, där angripare utfärdade bedrägliga certifikat för stora domäner som förblev oupptäckta i veckor. Före CT fanns det inget tillförlitligt sätt för en domänägare att veta om en CA, någonstans i världen, hade utfärdat ett obehörigt certifikat för deras domän. CT-loggar täcker den blinda fläcken genom att göra varje utfärdande offentligt synligt och permanent registrerat.

Hur kan organisationer övervaka CT-loggar för sina egna domäner?

• Använd en CT-övervakningstjänst som övervakar offentliga loggar och aviseringar om alla nya certifikat som utfärdas för en övervakad domän.
• Sök efter CT-loggverktyg direkt under incidentrespons för att bekräfta om ett oväntat certifikat har utfärdats på ett giltigt sätt.
• Integrera CT-övervakning i en bredare plattform för hantering av certifikatlivscykeln så att varningar om felaktiga utfärdanden visas tillsammans med spårning av utgångs- och förnyelsedatum.

Vad kan certifikattransparens inte skydda mot?

CT upptäcker felaktig utfärdande i efterhand; det hindrar inte en CA från att utfärda ett bedrägligt certifikat från första början. Det kan inte heller hindra en angripare från att använda ett giltigt utfärdat certifikat som de inte borde ha erhållit genom social ingenjörskonst eller en komprometterad valideringsprocess. CT:s värde är snabb upptäckt, vilket förvandlar det som brukade vara en månader lång blind fläck till något som kan dyka upp inom några timmar efter utfärdande.

Hur krypteringskonsulting hjälper

Hur krypteringskonsulttjänster hjälper CertSecure Manager inkluderar övervakning av certifikattransparensloggar tillsammans med spårning av utgångsdatum, vilket varnar ditt team när ett oväntat certifikat utfärdas för en domän du äger. Stöds av ISO/IEC 27001:2022 och SOC 2-certifierade metoder.

Vanliga frågor om partihandel med mat och dryck

Är certifikattransparens obligatorisk?

Stora webbläsare, inklusive Chrome, kräver en giltig tidsstämpel för signerat certifikat för att alla offentligt betrodda TLS-certifikat ska accepteras, vilket i praktiken gör CT-loggning obligatorisk för alla certifikat som är avsedda för offentlig användning.

Kan ett certifikat tas bort från en CT-logg när det väl har lagts till?

Nej. CT-loggar bygger endast på tillägg och en kryptografiskt verifierbar Merkle-trädstruktur, vilket innebär att poster inte kan ändras eller raderas i tysthet när de väl har lagts till. Denna oföränderlighet är central för CT:s värde som en detekteringsmekanism.

Vad utlöste skapandet av certifikattransparens?

CT utvecklades till stor del som svar på verkliga CA-komprometter, framför allt DigiNotar-intrånget 2011, där angripare utfärdade bedrägliga certifikat för stora domäner som förblev oupptäckta under en längre period, vilket exponerade användare för oupptäckt "man-in-the-middle"-risk.

Hur snabbt kan en organisation upptäcka ett felaktigt utfärdat certifikat med hjälp av CT?

Med aktiv CT-loggövervakning på plats kan en organisation vanligtvis upptäcka ett nyligen utfärdat certifikat för sin domän inom några timmar efter utfärdandet, jämfört med de månader det tidigare kunde ta utan någon offentlig utfärdandepost att kontrollera mot.

Övervaka alla certifikat som utfärdas för dina domäner

Ta nästa steg. CertSecure Manager kombinerar övervakning av certifikattransparensloggar med fullständig livscykelhantering, så att felaktigt utfärdade certifikat upptäcks inom timmar, inte månader. Se CertSecure Manager i praktiken.