Sokan meglepődnek, amikor kiderül, hogy egy frissen létrehozott, sehol nem hirdetett aldomainjük (például teszt.pelda.hu vagy fejlesztes.pelda.hu) pár perccel a létrehozása után már látogatókat, sőt támadási kísérleteket kap. Ennek oka a Certificate Transparency (CT).
Mi a Certificate Transparency?
A Certificate Transparency egy nyilvános naplórendszer: minden böngészők által elfogadott SSL tanúsítványt a kiadásakor be kell jegyezni több, egymástól független, nyilvános naplóba. A Chrome és a Safari a naplóba be nem jegyzett tanúsítványokat el sem fogadja, így ma gyakorlatilag minden tanúsítvány nyilvános.
A rendszer célja, hogy kiderüljön, ha egy tanúsítványkiadó tévedésből vagy szándékosan jogosulatlanul ad ki tanúsítványt egy domainre. A naplókat bárki átnézheti, így az ilyen tanúsítványok nem maradhatnak rejtve.
Mit árul el ez az aldomainjeimről?
Mivel a tanúsítvány tartalmazza az összes domaint és aldomaint, amelyre szól, a naplókból bárki kilistázhatja egy domain összes aldomainjét, amelyre valaha tanúsítványt adtak ki. Ehhez elég a crt.sh keresőjében beírni: %.pelda.hu.
cPanel tárhelyeinken az AutoSSL minden aldomainre automatikusan tanúsítványt igényel, így minden aldomain neve bekerül a naplókba.
Ez önmagában nem biztonsági rés: a naplók csak a neveket tartalmazzák, a weboldal tartalmát nem. Néhány dologra azonban érdemes figyelni:
- Az aldomain neve nem titok. Ne bízzon abban, hogy egy „eldugott” aldomain (például egy tesztoldal vagy egy admin felület) rejtve marad. Védje jelszóval, lásd: Könyvtár jelszavas védelme cPanelben.
- Ne adjon árulkodó nevet. Az aldomain neve ne tartalmazzon ügyfélnevet, projektnevet vagy belső információt, amelyet nem szeretne nyilvánosságra hozni.
- Fejezze be gyorsan a telepítéseket. A támadók figyelik a naplókat, és az új tanúsítványok domainjein azonnal befejezetlen telepítéseket keresnek. Egy félbehagyott WordPress-telepítőt percek alatt átvehetnek. Ha új oldalt telepít, a telepítést azonnal fejezze be, vagy a telepítés idejére védje jelszóval a könyvtárat.
Elrejthetők az aldomainek?
Egy wildcard tanúsítvány (*.pelda.hu) a naplóban csak a *.pelda.hu bejegyzést hagyja, az egyes aldomainek nevét nem. Lásd: Mi az a Wildcard SSL tanúsítvány? Ne feledje azonban, hogy az aldomainek a DNS-ből és más forrásokból is kideríthetők, ezért a valódi védelem a jelszó és a hozzáférés-korlátozás, nem a név elrejtése.
Hogyan használhatja a saját védelmére?
A Certificate Transparency Önnek is segít: ellenőrizheti, hogy valaki más nem igényelt-e tanúsítványt a domainjére.
- Keressen rá a domainjére a crt.sh oldalon, és nézze át, ismeri-e az összes kiadott tanúsítványt.
- Egyes szolgáltatások (például a Cert Spotter vagy a Cloudflare tanúsítványfigyelője) e-mailben értesítik, ha új tanúsítványt adnak ki a domainjére.
Ha olyan tanúsítványt talál, amelyet nem Ön igényelt, írjon ügyfélszolgálatunknak. A jövőbeni jogosulatlan kiadás ellen a CAA rekord beállításával védekezhet.
