什么是证书透明度？它如何帮助检测假SSL证书
相关标签： # 漏洞# 监控# 攻击# 工具# 缺陷
我说的是传统的数字证书管理系统… 这是最薄弱的一环，完全建立在信任的基础上，它已经被打破了好几次。
为了确保个人数据的机密性和完整性，数十亿互联网用户盲目地依赖全球数百个证书颁发机构（CA）。
在本文中，我将解释：
- 当前数字证书管理系统的结构缺陷。
- 证书颁发机构（CA）失去信任的原因。
- 证书透明性（CT）如何解决SSL证书系统中的问题。
- 如何及早检测为您的域颁发的每个SSL证书，无论是合法的还是恶意的？
首先，您需要了解证书颁发机构及其角色：
证书颁发机构及其作用
有数百家这样的受信任组织有权为您拥有的任何域颁发有效的SSL证书，尽管您已经从另一个CA购买了一个。
...这是CA系统中最大的漏洞。
SSL信任链断了！
去年，谷歌发现赛门铁克（CAs之一）不正当地为谷歌颁发了一份重复的证书。显然是错误地与他人通信。
这不是第一次滥用或错误地使用CA的权力来颁发伪造的数字证书，从而危及数百万互联网用户的隐私。
2011年3月，流行的证书颁发机构Comodo被黑客攻击，为包括邮件在内的流行域颁发欺诈性证书。谷歌。com，插件。mozilla。org，然后登录。雅虎。通用域名格式。
同年，荷兰证书管理局DigiNotar也遭到了攻击，并发布了大量欺诈性证书。
由于信任链被打破，数百万用户受到中间人攻击。
另请阅读：CT监控工具如何帮助Facebook早期检测假SSL证书
另请阅读：CT监控工具如何帮助Facebook早期检测假SSL证书
此外，这些文件是由爱德华·斯诺登据透露，NSA（国家安全局）截获并破解了大量HTTPS加密的网络会话，这表明一些所谓的可信CA被广泛怀疑受政府控制或授权。
如果政府要求这些“可信转恶”证书颁发机构为Facebook、Google或Yahoo等安全且受欢迎的网站颁发重复的SSL证书，该怎么办？
这不仅仅是我的猜测；过去，政府机构和国家资助的黑客滥用受信任的CA，为流行域名获取假数字证书，以监视用户，这种情况已经发生。
涉及政府的事件的例子
2.)2013年末，谷歌发现其域名的假数字证书被法国政府机构用来实施中间人攻击。
您可以在这里看到，破坏受其他行为良好的CA保护的HTTPS网站的安全性是多么容易。
你仍然盲目信任CA组织吗？
DigiNotar和Comodo事件起到了警钟的作用，结束了盲目相信CAs颁发数字证书的时代。
问题：您应该如何检查您的域的恶意证书是否已颁发给其他人，可能是恶意攻击者？
解决方案：证书透明（Certificate Transparency，简称CT），这是一项公共服务，允许个人和公司监控为其域秘密颁发的数字安全证书的数量。
2013年，谷歌启动了一项全行业计划，名为证书透明度(计算机断层扫描)，这是一个开放的框架，用于记录、审核和监视CAs颁发的证书。
什么是证书透明系统？
- 证书日志
- 证书监视器
- 证书审核员
证书透明性要求CA公开声明（证书日志）他们生成的每个数字证书。
证书日志为用户提供了一种查找已为给定域名颁发的所有数字证书的方法。
值得注意的是，证书透明模型并没有取代传统的基于CA的身份验证和验证过程，尽管它是验证证书唯一性的另一种方法。
证书日志有三个重要特性：
1.仅附加：证书记录只能添加到日志中。它们不能被删除、修改或追溯插入日志。
2.加密保证：证书日志使用一种称为“Merkle树哈希”的特殊加密机制来防止篡改。
3.可公开审计：任何人都可以查询日志并验证其行为，或者验证SSL证书是否已合法附加到日志中。
在CT中，数字证书包含签名证书时间戳(SCT)，证明在发布前已提交日志。
谷歌、DigiCert、赛门铁克和其他一些CAs目前正在托管公共日志。
虽然CT不能阻止CA颁发伪造证书，但它使检测恶意证书的过程变得更加容易。
这种透明度使他们能够快速识别错误或恶意颁发的数字证书，并帮助他们缓解安全问题，如中间人攻击。
今年早些时候，证书透明系统和监控服务帮助Facebook安全团队及早发现为多个fb颁发的重复SSL证书。com子域。
在另一篇文章中，我详细介绍了Facebook的证书透明度监控服务其目的是立即自动发现SSL问题。
Facebook向《黑客新闻》（THN）证实，它将在未来几个月向更广泛的社区免费提供其实验性的证书透明度监控服务。
证书透明搜索工具
听起来很有趣？
Comodo推出了一个证书透明搜索工具，该工具列出了任何给定域名的所有已颁发证书。
或者，尝试谷歌的证书透明查找工具来检查公共证书透明日志中针对给定主机名颁发的所有证书
或者，尝试谷歌的证书透明查找工具来检查公共证书透明日志中针对给定主机名颁发的所有证书
如果您发现为您的域颁发的欺诈证书，请报告相应的CA并立即解决。
特别声明：以上内容（图片及文字）均为互联网收集或者用户上传发布，本站仅提供信息存储服务！如有侵权或有涉及法律问题请联系我们。
举报
