La Superficie d'Attacco Invisibile che Non Sapevi di Avere

Ogni volta che un Certificate Authority (CA) emette un certificato TLS per il tuo dominio, quello diventa visibile a tutti. Non è un difetto, anzi è proprio questo il punto. Si chiama Certificate Transparency (CT). Ma ecco cosa fa dormire male i professionisti della sicurezza: chiunque può richiedere un certificato per il tuo dominio, e se un CA compromesso o disonesto lo fa, potresti non saperlo mai. Finché non è troppo tardi.

Certificate Transparency è stata creata proprio per risolvere questo problema di visibilità. Per legge, i CA pubblicamente affidabili devono inviare tutti i certificati emessi ai log CT pubblici. Questo crea una traccia verificabile di ogni emissione. Il punto non è se questi log esistono, ma se tu li stai guardando attivamente.

Cosa Ti Mostra la Ricerca nei Log CT

Quando cerchi nei log CT, non stai solo cercando i certificati che hai emesso tu. Stai vedendo il quadro completo:

DNS SAN (corrispondenza esatta) trova certificati con hostname identici, inclusi i wildcard letterali come *.example.com. Questo è il tuo controllo base: abbiamo davvero richiesto noi questo certificato?

Copertura DNS host cattura i certificati che coprono il tuo dominio direttamente, inclusi i domini padre wildcard. Ti aiuta a capire se qualcuno ha ottenuto un certificato wildcard che non dovrebbe avere.

DNS host e subdomain va più a fondo, mostrando i certificati emessi per i nomi sotto il tuo host. Se qualcuno sta silenziosamente acquisendo certificati per api.example.com, staging.example.com o altri subdomain, li vedrai qui.

La Velocità Conta: I Nuovi Certificati Apperono in Pochi Minuti

I certificati TLS pubblicamente affidabili appaiono nei log CT generalmente entro 10 minuti dall'emissione. Non è un processo batch che gira durante la notte, è quasi in tempo reale. Per il monitoraggio della sicurezza, questa velocità è fondamentale. Un attore malevolo che cerca di ottenere un certificato per attacchi phishing o man-in-the-middle ha una finestra stretta prima che il rilevamento diventi possibile.

Ecco perché il monitoraggio continuo batte i controlli periodici. Il tuo dominio potrebbe essere registrato oggi con un certificato emesso domani, e un controllo settimanale potrebbe non accorgersene.

Pre-Certificati vs Certificati Finali: Perché la Deduplicazione Conta

I log CT non memorizzano solo i certificati finali, possono contenere anche i pre-certificati. Un pre-certificato è un artefatto temporaneo che alcuni CA inviano prima di emettere il certificato vero e proprio. Lo stesso certificato logico potrebbe apparire due volte nei log CT con rappresentazioni binarie diverse.

Gli strumenti moderni di ricerca CT gestiscono questo deduplicando i risultati con una tecnica furba: confrontano l'hash SHA-256 del TBS-no-CT combinato con l'hash SHA-256 dell'Issuer SPKI. La parte "TBS-no-CT" si riferisce ai dati to-be-signed del certificato dopo aver rimosso le estensioni Certificate Transparency. Questo permette ai pre-certificati e ai loro certificati finali corrispondenti di combaciare, dandoti un risultato pulito per ogni certificato reale invece di duplicate confuse.

Applicazioni Pratiche per Sviluppatori e Team di Sicurezza

Per gli sviluppatori: integra il monitoraggio CT nei tuoi script di provisioning dell'infrastruttura. Quando crei nuovi ambienti, verifica automaticamente che solo i tuoi certificati attesi appaiano nei log CT per quei domini.

Per i team di sicurezza: i log CT sono preziosi per la threat intelligence. Le campagne di phishing spesso usano certificati che sembrano legittimi. Monitorare i log CT per domini con typosquatting (come examp1e.com invece di example.com) può far emergere tentativi di impersonificazione del brand.

Per le startup: se operi in uno spazio competitivo, il monitoraggio CT può alertarti su emissioni di certificati potenzialmente sospette che potrebbero indicare attività di targeting o ricognizione.

Oltre il Monitoraggio: Gestione del Ciclo di Vita dei Certificati

La ricerca CT è solo un pezzo di una strategia robusta di gestione dei certificati. Una volta che sai quali certificati esistono per i tuoi domini, devi tracciare le date di scadenza, le finestre di rinnovo e assicurarti una corretta gestione delle chiavi. I fallimenti di scadenza dei certificati causano vere e proprie interruzioni di produzione, e succedono più spesso di quanto chiunque ammetta.

Piattaforme moderne di monitoraggio come CertObserver aggregano i dati CT, tracciano il rischio di rinnovo e forniscono alert prima che i certificati scadano. Questo trasforma Certificate Transparency da un log passivo in un controllo di sicurezza attivo.

Il Punto della Questione

Certificate Transparency ti dà visibilità sull'emissione di certificati che prima era impossibile. Che tu sia uno sviluppatore solo che gestisce qualche progetto o un team di sicurezza enterprise che protegge migliaia di domini, il monitoraggio CT dovrebbe far parte del tuo kit di sicurezza.

La buona notizia? I dati sono pubblicamente disponibili, le ricerche sono veloci e gli strumenti migliorano rapidamente. Nessuna scusa per volare alla cieca sull'emissione di certificati.

Inizia a monitorare la tua impronta di certificati oggi. Il te stesso del futuro ti ringrazierà quando non dovrai debuggare perché i tuoi utenti non riescono a connettersi a causa di un certificato scaduto che nessuno sapeva esistesse.

Da NameOcean, aiutiamo sviluppatori e startup a proteggere la loro infrastruttura con gestione SSL integrata e strumenti di sicurezza dei domini. Perché sapere cosa sta succedendo con i tuoi certificati non dovrebbe richiedere un dottorato in sicurezza.