Certificate Transparency ist ein System, das Zertifizierungsstellen verpflichtet, neu ausgestellte SSL/TLS-Zertifikate in öffentlichen, kryptografisch verwalteten Protokollen einzutragen. Diese Protokolle erstellen einen unveränderlichen Datensatz aller Zertifikate und ermöglichen es, Zertifizierungsstellen auf fehlerhafte Ausstellungen zu überprüfen und potenziell betrügerische Zertifikate schnell zu erkennen.
Funktionsweise
Wenn eine CA ein Zertifikat ausstellt, erstellt sie zunächst ein Präzertifikat (einen Entwurf mit einer Poison-Erweiterung) und sendet es an ein CT-Protokoll. Das Protokoll gibt einen Signed Certificate Timestamp (SCT) zurück – ein kryptografisches Versprechen, das Zertifikat innerhalb eines festgelegten Zeitraums einzutragen. Die CA gibt dann das endgültige Zertifikat aus und muss den Browser mit einem Nachweis der CT-Aufnahme (dem SCT) versorgen.
Protokolle selbst sind Merkle-Bäume; diese mathematische Struktur ermöglicht es, effizient zu erkennen, wenn ein Protokoll verschiedenen Personen unterschiedliche Daten anzeigt, indem Wurzeln und Konsistenzbeweise verglichen werden. Die Verifizierung der Zertifikataufnahme erfolgt in logarithmischer Zeit – schnell genug, um TLS Handshakes nicht zu verlangsamen.
Browser- und CA-Anforderungen
Chrome verlangt, dass alle nach dem 30. April 2018 ausgestellten Zertifikate in einem CT-Protokoll erscheinen. Firefox verlangt die CT-Protokoll-Aufnahme für Zertifikate von CAs im Mozilla Root CA Program. Die meisten modernen Browser setzen ähnliche Anforderungen durch und machen die CT-Übermittlung für jede CA obligatorisch, die öffentlich vertrauenswürdige Zertifikate ausstellt.
TipCT-Protokolle sind öffentlich abfragbar – Sie können bestehende Protokolle durchsuchen, um zu sehen, welche Zertifikate für eine Domäne ausgestellt wurden. Dies ist nützlich für Sicherheitsüberwachung und Bedrohungserkennung.
Certificate Transparency wurde in RFC 6962 (2013) standardisiert und in RFC 9162 (2021) aktualisiert, obwohl nur RFC 6962 in der Produktion implementiert ist.