Certificate Transparency

Certificate Transparency (CT) ist ein Prozess, der die Prüfung ausgestellter digitaler Zertifikate für verschlüsselte Internetverbindungen ermöglichen soll. Der Standard sieht die Protokollierung aller durch eine Zertifizierungsstelle (Certificate Authority) ausgestellter digitaler Zertifikate in einem revisionssicheren Logbuch vor. Dieses soll die Erkennung irrtümlicher oder böswillig ausgestellter Zertifikate für eine Domain ermöglichen. Im Juni 2013 wurde er als experimenteller RFC 6962<ref>Vorlage:RFC-Internet</ref> von der IETF angenommen. Der Standard wird maßgeblich von Google vorangetrieben.

Im September 2011 wurde bekannt, dass es Hackern gelungen war, in die Systeme der Zertifizierungsstelle DigiNotar einzudringen und sich für mehr als 500 Domains gefälschte Zertifikate auszustellen. Diese wurden in der Folge unter anderem zur Überwachung iranischer Bürger genutzt.<ref>Protokoll eines Verbrechens: DigiNotar-Einbruch weitgehend aufgeklärt. In: heise Security. Abgerufen am 26. April 2017. </ref> Als Reaktion begann Google nach eigener Darstellung mit der Entwicklung von Certificate Transparency.<ref name="digicert.com">Certificate Transparency (CT) Status. In: DigiCert.com. Abgerufen am 26. April 2017 (). </ref> Im März 2013 startete das Unternehmen den ersten Certificate Transparency Log,<ref>Known Logs. Certificate Transparency, abgerufen am 26. April 2017. </ref> wenig später führte mit DigiCert die erste Zertifizierungsstelle das Verfahren ein.<ref name="digicert.com" /> Seit Januar 2015 akzeptiert der von Google entwickelte Webbrowser Chrome neu ausgestellte Extended-Validation-Zertifikate nur noch, wenn ihre Ausstellung per Certificate Transparency protokolliert wurde.<ref>Certificate Transparency: Google setzt Symantec die Pistole auf die Brust. heise Security, abgerufen am 26. April 2017. </ref> Im Juni 2016 zwang das Unternehmen die Zertifizierungsstelle Symantec an dem Prozess teilzunehmen, ansonsten würde Chrome vor Zertifikaten Symantecs warnen.<ref>TLS-Zertifikate: Google zieht Daumenschrauben der CAs weiter an. heise Security, abgerufen am 26. April 2017. </ref> Zuvor hatte Google festgestellt, dass Symantec falsche Zertifikate für Domains des Unternehmens ausgestellt hatte.<ref>Symantec hantiert mit falschem Google-Zertifikat. heise Security, abgerufen am 26. April 2017. </ref>

Seit 30. April 2018 zeigt Chrome eine Warnung bei Zertifikaten an, deren Ausstellung nicht protokolliert wurde. Dies gilt allerdings nur, wenn das Zertifikat nach dem 30. April 2018 ausgestellt wurde. Zertifikate, die vor dem Stichtag ausgestellt wurden, werden derzeit nicht berücksichtigt.<ref>Devon O’Brien: Certificate Transparency Enforcement in Chrome and CT Day in London. Abgerufen am 2. Mai 2018. </ref><ref>Chrome: Google macht Ernst mit Certificate Transparency. heise Security, abgerufen am 2. Mai 2018. </ref> Auch Apple erfordert die Protokollierung ausgestellter Zertifikate via CT.<ref>Apple’s Certificate Transparency policy. Apple Inc., abgerufen am 22. Februar 2022. </ref> Die Desktop-Variante von Firefox erfordert CT seit Version 135.<ref>Certificate Transparency (MDN Web Docs). Abgerufen am 2. Mai 2025. </ref> Auf der Website no-sct.badssl.com kann getestet werden ob der eigene Browser CT prüft. Ist dies der Fall zeigt der Browser eine Fehlermeldung an (z. B. bei Chrome „NET::ERR_CERTIFICATE_TRANSPARENCY_REQUIRED“). Ist dies nicht der Fall wird stattdessen eine rote Seite angezeigt. Auch Microsoft Edge prüft CT (siehe Testseite).

Normen und Standards

CT wird fortwährend weiterentwickelt:

• Vorlage:RFC-Internet
• Vorlage:RFC-Internet

Weblinks

• Offizielle Website
• Merklemap – Eine Suchmaschine für Certificate Transparency Logs
• CertObserver Certificate Transparency search
• Shedding Light on Certificates: The Web PKI and Certificate Transparency – Übersichtsartikel (englisch)

Einzelnachweise

<references />