證書透明度
 | 此條目需要更新。 (2021年8月21日) |
 | 此條目翻譯自其他語言維基百科，需要相關領域的編者協助校對翻譯。 |
證書透明度（英語：Certificate Transparency，簡稱CT）也稱證書透明、證書透明化，是一個實驗性的IETF開源標準[1]和開源框架，目的是監測和審計數字證書。透過證書日誌、監控和審計系統，證書透明度使網站用戶和域名持有者可以識別不當或惡意簽發的證書，以及識別數字證書認證機構（CA）的行為。
證書透明度的工作始於 2011 年，當時數位證書授權單位DigiNotar受到攻擊並開始頒發惡意憑證。至2021年，公開信任的TLS證書必須強制實現證書透明度，但其他類型的證書則未有相應要求。[2]
背景
[編輯]當前的數字證書管理系統中的缺陷正使欺詐證書導致的安全問題和隱私泄露風險變得日益明顯。
2011年，荷蘭的數字證書機構DigiNotar在入侵者利用其基礎設施成功創建了超過500個欺詐性數字證書後申請破產。[3]
Ben Laurie和Adam Langley構思了證書透明度，並將其框架實現為開源項目。
優點
[編輯]數字證書管理的問題之一是，欺詐性證書需要很長時間才能被瀏覽器提供商發現、報告和撤銷。證書透明度有助於避免駭客在未經網域持有者知情下為網域頒發證書。
證書透明度不需要側信道通信來驗證證書，這些由在線證書狀態協議（OCSP）或Convergence等技術完成。證書透明度也不需要信任第三方。
證書透明度日誌
[編輯]證書透明度依賴於可驗證的證書透明度日誌。日誌會將新的證書添加到不斷增長的哈希樹中。[1]:Section 3 為正確完成該行為，日誌必須：
- 驗證每個提交的證書或預證書是否有有效的簽名鏈，鏈條鏈向受信任的根證書頒發機構證書。
- 拒絕發布無有效簽名鏈的證書。
- 存儲新接受的可鏈向根證書的證書。
- 根據請求提供此鏈的審計。
日誌可以接受尚未完全生效或者已過期的證書。
證書透明度監視器
[編輯]監視器是作為日誌服務器的客戶端，檢查日誌以確保其行為正確。如發生不一致則表示日誌沒有正確運行。日誌的數據結構雜湊樹（Merkle tree）上的簽名防止日誌否認不良行為。
證書透明度審計器
[編輯]審計器也作為日誌服務器的客戶端運行。證書透明度審計器使用有關日誌的部分信息驗證日誌及其他部分的信息。[1]:Section 5.4
證書頒發機構實現
[編輯]2013年3月，Google推出其首個證書透明度日誌。[4] 2013年9月，DigiCert成為首個實現證書透明度的數字證書認證機構。[5]
Google Chrome在2015年開始要求新頒發的擴展驗證證書（EV）提供「證書透明度」。[6][7]因為被發現有187個證書在未經域名所有者知曉的情況下被頒發，賽門鐵克（Symantec）被要求自2016年6月1日起新頒發的所有證書必須配備證書透明度。[8][9]
2017年4月，Google將原定於2017年10月要求Chrome將要求所有SSL證書支持證書透明度（CT）的日期推遲至2018年4月，以給行業更多準備時間[10]
參考資料
[編輯]- ^ 1.0 1.1 1.2 Laurie. RFC 6962 - Certificate Transparency. The Internet Engineering Task Force. June 2013 [2013-11-20]. （原始內容存檔於2017-09-25）.
- ^ Call, Ashley. Certificate Transparency: FAQs | DigiCert Blog. DigiCert. 2015-06-03 [2021-04-13]. （原始內容存檔於2022-05-20） （美國英語）.
- ^ Kim Zetter. DigiNotar Files for Bankruptcy in Wake of Devastating Hack. Wired. 2011-09-11 [2014-11-14]. （原始內容存檔於2014-11-28）.
- ^ Known Logs - Certificate Transparency. [2016-12-06]. （原始內容存檔於2016-12-16）.
- ^ DigiCert Announces Certificate Transparency Support. Dark Reading. [2013-11-12]. （原始內容存檔於2013-10-10）.
- ^ Woodfield, Meggie. Certificate Transparency Required for EV Certificates to Show Green Address Bar in Chrome. DigiCert Blog. DigiCert. December 5, 2014 [2016-12-06]. （原始內容存檔於2016-10-13）.
- ^ Laurie, Ben. Updated Certificate Transparency + Extended Validation plan. cabfpub (郵件列表). February 4, 2014 [2016-12-06]. （原始內容存檔於2014-03-30）.
- ^ Symantec Certificate Transparency (CT) for certificates issued before June 1, 2016. Symantec Knowledge Center. Symantec. June 9, 2016 [2016-12-06]. （原始內容存檔於2016-10-05）.
- ^ Sleevi, Ryan. Sustaining Digital Certificate Security. Google Security Blog. Google. October 28, 2015 [2016-12-06]. （原始內容存檔於2016-12-07）.
- ^ Chrome将“强制证书透明度要求”推迟至2018年. 沃通. 2017-05-15 [2017-05-26]. （原始內容存檔於2021-05-19）.
外部連結
[編輯]- RFC 6962 - 互聯網工程任務組
- Certificate-transparency.org（頁面存檔備份，存於網際網路檔案館），有關證書透明度工作機制的常規信息
- crt.sh（頁面存檔備份，存於網際網路檔案館），一個證書透明度日誌搜索引擎
- Certificate Transparency 那些事（頁面存檔備份，存於網際網路檔案館）