Hyökkäyspinta, josta et tiennyt – Certificate Transparency paljastaa kaiken

Joka kerta kun Certification Authority (CA) myöntää TLS-varmenteen verkkotunnuksellesi, se tallentuu julkiseen lokiin. Tämä ei ole vika vaan ominaisuus, jota kutsutaan Certificate Transparencyksi (CT). Mutta täällä piilee ongelma: kuka tahansa voi hakea varmenteen sinun verkkotunnuksellesi, ja jos kyseessä on vilpillinen tai vaarantunut CA, saatat olla tietämätön asiasta kunnes on jo liian myöhäistä.

Certificate Transparency rakennettiin ratkaisemaan tämä näkyvyysongelma. Julkisesti luotetut CA:t ovat velvoitettuja lisäämään kaikki myönnetyt varmenteet julkisiin CT-lokeihin. Syntyy jäljitettävä lokitiedosto varmenteiden myönnöstä. Kysymys ei ole siitä, ovatko CT-lokit olemassa – vaan siitä, seuraatko niitä aktiivisesti.

Mitä Certificate Transparency -haku oikeastaan näyttää

CT-lokien hakutoiminto ei ainoastaan paljasta omia varmenteitasi. Se tarjoaa kokonaisvaltaisen kuvan tilanteesta.

DNS SAN (täsmällinen vastaavuus) löytää varmenteet, joissa on identtinen isäntänimen vastaavuus, mukaan lukien kirjaimelliset wildcard-varmenteet kuten *.esimerkki.fi. Tämä on perustarkistus – onko meidän vastuullamme tämä varmenne?

DNS-isäntäkattavuus havaitsee varmenteet, jotka kattavat verkkotunnuksesi suoraan, mukaan lukien wildcard-yläverkkotunnukset. Tämä auttaa tunnistamaan, onko joku hankkinut wildcard-varmenteen, johon hänellä ei pitäisi olla pääsyä.

DNS-isäntä ja aliverkkotunnukset menee syvemmälle näyttämällä varmenteet, jotka on myönnetty isäntänimen alla oleville nimille. Jos joku on hiljaisesti hankkinut varmenteita osoitteisiin api.esimerkki.fi, testi.esimerkki.fi tai muille aliverkkotunnuksille, tämä näkyy täällä.

Nopeus ratkaisee – uudet varmenteet ilmestyvät minuuteissa

Julkisesti luotetut TLS-varmenteet ilmestyvät CT-lokeihin tyypillisesti 10 minuutin kuluessa myönnöstä. Kyse ei ole yöllä ajettavasta eräprosessista vaan lähes reaaliaikaisesta toiminnasta. Tämä nopeus on kriittinen turvallisuusvalvonnan kannalta. Haitallinen toimija, joka yrittää hankkia varmenteen phishingiä tai man-in-the-middle-hyökkäystä varten, toimii hyvin kapeassa aikaikkunassa ennen kuin havaitseminen on mahdollista.

Siksi jatkuva valvonta on parempi kuin satunnaiset tarkistukset. Verkkotunnuksesi voidaan rekisteröidä tänään ja varmenne myöntää huomenna, eikä viikoittainen auditointi välttämättä huomaa sitä.

Pre-varmenteet vs. lopulliset varmenteet – miksi deduplikointi on tärkeää

CT-lokit eivät tallenna vain lopullisia varmenteita – ne voivat sisältää myös pre-varmenteita. Pre-varmenne on väliaikainen artefakti, jonka jotkut CA:t lähettävät ennen varsinaisen varmenteen myöntämistä. Sama looginen varmenne voi näkyä CT-lokeissa kahdesti eri binääriesityksillä.

Modernit CT-hakutyökalut käsittelevät tätä deduplikoimalla tulokset nokkelalla tekniikalla: vertaamalla TBS-no-CT SHA-256-hajautusarvoa yhdistettynä Issuer SPKI SHA-256-hajautusarvoon. "TBS-no-CT" viittaa varmenteen to-be-signed-dataan sen jälkeen kun Certificate Transparency -laajennukset on poistettu. Tämä mahdollistaa pre-varmenteiden ja niitä vastaavien lopullisten varmenteiden yhdistämisen, jolloin saat yhden siistin tuloksen kutakin oikeaa varmennetta kohden eikä hämmentäviä duplikaatteja.

Käytännön sovelluksia kehittäjille ja tietoturvatiimeille

Kehittäjille: Integroi CT-valvonta infrastruktuurin käyttöönottoskripteihisi. Kun luot uusia ympäristöjä, varmista automaattisesti, että CT-lokeissa näkyy vain odotetut varmenteet kyseisille verkkotunnuksille.

Tietoturvatiimeille: CT-lokit ovat korvaamattomia uhkatiedustelussa. Phishing-kampanjat käyttävät usein varmenteita, jotka vaikuttavat laillisilta. CT-lokien seuranta typosquatting-verkkotunnuksille (kuten esimerkk1.fi oikean esimerkki.fi sijaan) voi paljastaa brändin kaappaamisyrityksiä.

Startupeille: Jos toimit kilpaillulla sektorilla, CT-valvonta voi hälyttää sinua mahdollisesti epäilyttävästä varmenteen myönnöstä, joka voi viitata kohdennukseen tai tiedusteluun.

Valvontaa laajemmin: varmenteiden elinkaaren hallinta

CT-haku on vain yksi osa kattavaa varmenteiden hallintastrategiaa. Kun tiedät, mitä varmenteita verkkotunnuksillesi on olemassa, sinun täytyy seurata niiden vanhenemispäiviä, uusimisikkunoita ja varmistaa oikea avainten hallinta. Varmenteen vanheneminen aiheuttaa todellisia tuotantokatkoksia – ja niitä tapahtuu useammin kuin kukaan myöntää.

Moderni varmenteiden valvonta-alustat, kuten CertObserver, aggregoivat CT-dataa, seuraavat uusimisriskejä ja tarjoavat hälytyksiä ennen varmenteiden vanhenemista. Tämä muuttaa Certificate Transparencyn passiivisesta lokista aktiiviseksi tietoturvallisuusvalvonnaksi.

Lopuksi

Certificate Transparency antaa sinulle näkyvyyden varmenteiden myöntöön, joka oli aiemmin mahdotonta. Olet sitten yksittäinen kehittäjä muutaman projektin kanssa tai yritystason tietoturvatiimi, joka suojelee tuhansia verkkotunnuksia, CT-valvonnan tulisi olla osa tietoturvatyökalujasi.

Hyvä uutinen? Data on julkisesti saatavilla, haut ovat nopeita ja työkalut kehittyvät nopeasti. Ei enää tekosyitä sille, että lentää varmenteiden myönnön suhteen sokkona.

Aloita verkkotunnustesi varmenteiden jalanjäljen valvonta tänään. Tulevaisuuden minäsi kiittää, kun et joudu selvittämään miksi käyttäjät eivät saa yhteyttä vanhentuneen varmenteen vuoksi, josta kukaan ei tiennyt.

NameOceanilla autamme kehittäjiä ja startup-yrityksiä turvaamaan infrastruktuurinsa integroidulla SSL-hallinnalla ja verkkotunnusten tietoturvatyökaluilla. Koska sen pitäisi olla yksinkertaista.