Certificate Transparency, spesso abbreviato CT, è un sistema aperto per registrare e rendere verificabili i certificati TLS emessi o osservati. L’idea è che i certificati siano inseriti in log pubblici append-only, progettati per rendere rilevabili modifiche e omissioni. Questo consente ai proprietari di domini, ai ricercatori e ai browser compatibili di osservare certificati che dichiarano nomi di dominio, inclusi sottodomini. CT aiuta a individuare emissioni inattese e a rendere più controllabile il comportamento delle autorità di certificazione. Non è un’autorità che rilascia certificati e non sostituisce i controlli di validità eseguiti dal browser.
Il ciclo tipico coinvolge un’autorità di certificazione, un log CT e una prova crittografica dell’inclusione del certificato nel log. I log sono organizzati per permettere verifiche efficienti senza riscrivere in silenzio lo storico già pubblicato. Le versioni e i dettagli del protocollo sono descritti negli standard e nelle specifiche tecniche pertinenti; i client possono richiedere o controllare prove secondo il loro modello. Dal punto di vista del proprietario del sito, la conseguenza pratica è che un certificato pubblico per il proprio dominio può essere rilevato da strumenti di monitoraggio anche se non è stato annunciato direttamente dall’azienda.
Perché sono utili i log
Un’organizzazione può ricevere avvisi quando compare un certificato nuovo che include il suo dominio o una variante. Questo può rivelare un errore di configurazione, un’emissione da un fornitore sconosciuto o un tentativo di abuso. Il rilevamento precoce è utile soprattutto quando il certificato è stato emesso per un sottodominio dimenticato o per un sistema gestito da terzi. Tuttavia, la presenza del certificato non dimostra automaticamente un attacco: potrebbe essere stato richiesto da un hosting, da una piattaforma di test, da un servizio legittimo o da un’agenzia. Ogni risultato va associato a data, autorità, nomi coperti, validità e contesto operativo.
CT può inoltre migliorare la responsabilità delle autorità di certificazione perché emissioni potenzialmente errate diventano più visibili a osservatori indipendenti. I log permettono di controllare e confrontare le attestazioni pubblicate, mentre i meccanismi di auditing possono aiutare a rilevare comportamenti divergenti. Questo non significa che un log verifichi l’identità commerciale del titolare o che garantisca che il sito sia sicuro. Un certificato dimostra che una procedura di validazione è stata soddisfatta secondo il tipo di certificato; la crittografia protegge la connessione, ma non rende affidabili i contenuti o l’operatore.
Uso nella gestione dei domini
Per monitorare i propri domini, si possono interrogare log pubblici o servizi che aggregano gli eventi, impostando alert per nuove emissioni. Un inventario dei domini e dei sottodomini autorizzati aiuta a distinguere attività attesa da anomalie. Gli alert dovrebbero arrivare a un team che possa confrontarli con i ticket di change, i contratti e le attività dei provider. Se un certificato sconosciuto compare, verificare prima se un servizio terzo ha effettuato una richiesta autorizzata. In caso di sospetto concreto, contattare l’autorità di certificazione e i soggetti responsabili del dominio attraverso canali ufficiali e documentare l’indagine.
Un log CT può contenere nomi di host interni o non pubblicizzati quando questi appaiono in certificati pubblici; perciò la scelta di usare certificati pubblici deve tener conto della visibilità. Le organizzazioni possono preferire nomi non sensibili, domini dedicati e procedure di test che non esponano informazioni operative. I servizi di monitoraggio possono avere copertura e tempi diversi e non sostituiscono gli inventari interni. In sintesi, Certificate Transparency rende più osservabile l’emissione di certificati TLS attraverso registri verificabili. È uno strumento di audit e rilevamento, non una certificazione universale di sicurezza né un sistema che impedisce da solo l’emissione impropria.
← Tutto il glossario