Mnogi so presenečeni, ko ugotovijo, da njihova na novo ustvarjena, nikjer oglaševana poddomena (na primer teszt.pelda.hu ali fejlesztes.pelda.hu) nekaj minut po nastanku že dobiva obiskovalce in celo poskuse napadov. Vzrok za to je Certificate Transparency (CT).

Kaj je Certificate Transparency?

Certificate Transparency je javni sistem dnevnikov: vsako potrdilo SSL, ki ga sprejemajo brskalniki, je treba ob izdaji vpisati v več med seboj neodvisnih javnih dnevnikov. Chrome in Safari potrdil, ki niso vpisana v dnevnik, sploh ne sprejmeta, zato je danes praktično vsako potrdilo javno.

Namen sistema je, da se razkrije, če izdajatelj potrdil pomotoma ali namerno neupravičeno izda potrdilo za domeno. Dnevnike lahko pregleda vsak, zato taka potrdila ne morejo ostati skrita.

Kaj to razkrije o mojih poddomenah?

Ker potrdilo vsebuje vse domene in poddomene, za katere velja, lahko vsak iz dnevnikov izpiše vse poddomene domene, za katere je bilo kdaj izdano potrdilo. Za to zadošča, da v iskalnik crt.sh vpišeš: %.pelda.hu.

Na našem gostovanju cPanel AutoSSL samodejno zahteva potrdilo za vsako poddomeno, zato ime vsake poddomene pride v dnevnike.

To samo po sebi ni varnostna luknja: dnevniki vsebujejo le imena, ne vsebine spletne strani. Na nekaj stvari pa je dobro paziti:

• Ime poddomene ni skrivnost. Ne zanašaj se, da bo „skrita” poddomena (na primer testna stran ali skrbniški vmesnik) ostala skrita. Zaščiti jo z geslom, glej: Zaščita imenika z geslom v cPanelu.
• Ne izbiraj izdajalskih imen. Ime poddomene naj ne vsebuje imena stranke, imena projekta ali notranjih podatkov, ki jih ne želiš objaviti.
• Namestitve hitro dokončaj. Napadalci spremljajo dnevnike in na domenah novih potrdil takoj iščejo nedokončane namestitve. Napol dokončan namestitveni program WordPress lahko prevzamejo v nekaj minutah. Če nameščaš novo stran, namestitev takoj dokončaj ali imenik za čas namestitve zaščiti z geslom.

Je mogoče poddomene skriti?

Potrdilo wildcard (*.pelda.hu) v dnevniku pusti le vnos *.pelda.hu, ne imen posameznih poddomen. Glej: Kaj je potrdilo SSL wildcard? Ne pozabi pa, da je poddomene mogoče ugotoviti tudi iz DNS in drugih virov, zato je prava zaščita geslo in omejitev dostopa, ne skrivanje imena.

Kako ga lahko uporabiš za lastno zaščito?

Certificate Transparency pomaga tudi tebi: preveriš lahko, ali ni kdo drug zahteval potrdila za tvojo domeno.

• Na strani crt.sh poišči svojo domeno in preglej, ali poznaš vsa izdana potrdila.
• Nekatere storitve (na primer Cert Spotter ali Cloudflarov nadzor potrdil) te po e-pošti obvestijo, ko je za tvojo domeno izdano novo potrdilo.

Če najdeš potrdilo, ki ga nisi zahteval ti, piši naši podpori. Pred prihodnjo neupravičeno izdajo se zaščitiš z nastavitvijo zapisa CAA.