Certificate Transparency (CT), sertifika otoritelerinin ürettiği sertifikaları herkesin okuyabildiği, yalnızca eklemeli (append-only) kamuya açık loglara yazmasını sağlayan bir sistemdir. Böylece bir CA yanlışlıkla veya kötü niyetle alan adınız için sertifika kestiğinde bunu tespit etmek mümkün olur.
Nasıl çalışır?
CA sertifikayı bir veya birden fazla CT loguna gönderir, log karşılığında imzalı bir SCT (Signed Certificate Timestamp) döner. SCT sertifikaya gömülür veya TLS el sıkışmasında sunulur. Chrome gibi tarayıcılar CT politikasını şart koştuğundan, loglanmamış sertifikalar tarayıcılarda sorun yaşayabilir.
Kendi alan adınızı izleme
- CT arama hizmetlerinde (ör. crt.sh) alan adınızı sorgulayın:
https://crt.sh/?q=%25.alanadi.com - Bildirim sunan bir CT izleme hizmetine kaydolun; yeni sertifika çıktığında e-posta ile haberdar olun.
- Listedeki her sertifikayı kendi envanterinizle karşılaştırın: veren CA, tarih ve SAN alanları bilinen bir kayıtla eşleşmeli.
- Tanımadığınız bir sertifika görürseniz önce kurum içinde kimin aldığını doğrulayın; yetkisizse ilgili CA'ya iptal başvurusu yapın ve DNS/hesap erişimlerini gözden geçirin.
Sertifikadaki SCT'yi görme
openssl s_client -connect alanadi.com:443 -servername alanadi.com < /dev/null 2>/dev/null | openssl x509 -noout -text | grep -A3 "CT Precertificate SCTs"İpuçları
- CT logları kamuya açıktır; iç alt alan adlarınızın isimleri de görünür hâle gelir. Hassas isimler için bunu hesaba katın.
- CT izlemeyi CAA kayıtlarıyla birlikte kullanmak, hangi CA'nın sertifika kesebileceğini de sınırlar.
- Düzenli kontrol (haftalık gibi) ve otomatik uyarı en pratik yaklaşımdır.
Olay müdahale adımları
Yetkisiz bir sertifika fark ederseniz önce ilgili CA'ya iptal talebinde bulunun, ardından alan adı DNS yönetim hesabı ve CA hesaplarınızın erişim kayıtlarını inceleyin. Doğrulamada kullanılan e-posta adreslerini ve DNS kayıtlarını kontrol etmek kök nedeni bulmaya yardımcı olur. Olayı ve aldığınız önlemleri kayıt altına alın.
Özetle CT, hatalı yayımlamaya karşı bir erken uyarı sistemidir. Sertifikalarınızı SSL sertifikaları sayfasından alabilir, mevcut kurulumunuzu SSL denetleyici ile doğrulayabilirsiniz.