Ressources

Certificate Transparency n’est pas un inventaire de certificats

Les journaux CT constituent un point de départ utile pour découvrir les certificats publics. Ils ne remplacent pas un inventaire opérationnel : ils ne montrent ni tous les points de terminaison déployés, ni tous les certificats internes, ni l’équipe responsable du renouvellement.

Ce que CT fait bien

Certificate Transparency rend publiques les émissions de certificats. La RFC 6962 définit le protocole réellement utilisé par les journaux publics (les journaux plus récents emploient le format en tuiles compatible static-ct-api). Les autorités de certification, les exploitants de sites, les navigateurs et les moniteurs peuvent ainsi examiner les certificats émis et détecter une émission suspecte.

Chrome exige que les certificats TLS de confiance publique émis après le 30 avril 2018 prennent en charge CT afin d’être reconnus comme valides. Cela fait de CT un flux de découverte public utile pour les noms contrôlés par votre organisation.

CT peut montrer

  • Certificats publics émis pour les noms que vous surveillez.
  • Émission publique inattendue ou non autorisée pour vos domaines.
  • Preuve historique qu’un nom figurait dans un certificat public.

CT ne prouve pas

  • Certificats de PKI privée, autosignés, de laboratoire, d’équipement ou réservés à un usage interne.
  • Si un certificat consigné est réellement déployé sur un point de terminaison actif.
  • L’équipe responsable du service, la méthode de renouvellement et le circuit d’alerte.
  • Tous les noms d’hôte présentés derrière des certificats génériques, un routage SNI ou des ports non standard.

Ce qui manque à l’inventaire

Exemple illustratif
  1. Nom d’hôte repéré dans CTapi.example.comUne piste à vérifier
  2. Vérification TLS directeapi.example.com:443
  3. Certificat réellement présenté*.example.com68 jours restants

Une entrée CT témoigne de l’émission. Une vérification TLS réussie montre ce que le service accessible présente à cet instant.

Les exigences de base du CA/Browser Forum portent sur les certificats de serveur de confiance publique et excluent explicitement les PKI d’entreprise réservées à un usage interne. Ces certificats internes sont souvent importants lors des pannes et des audits, mais consulter les journaux CT publics ne suffit pas à les faire apparaître.

Quatre champs à ajouter à votre inventaire

Source

Le certificat a-t-il été trouvé dans les journaux CT, le DNS, une analyse directe, une analyse par agent ou un import manuel ?

Point de terminaison

Quel hôte, quel port, quel protocole et quel nom SNI le présentent aujourd’hui ?

Responsable

Quelle équipe peut le renouveler, le remplacer ou le retirer intentionnellement ?

Processus de renouvellement

L’émission est-elle automatisée, déléguée à un fournisseur ou dépend-elle toujours d’un ticket et d’une modification manuelle ?

Liste de contrôle pratique

  • Amorcez la découverte publique à partir des journaux CT pour les domaines que vous contrôlez.
  • Confirmez le déploiement réel par des analyses de points de terminaison, y compris des vérifications qui tiennent compte de SNI et des ports non standard.
  • Importez des zones DNS ou des listes d’hôtes connus afin que l’inventaire ne se limite pas à ce que les autorités de certification ont émis.
  • Analysez les plages internes approuvées depuis l’intérieur du réseau à la recherche de certificats privés qui n’apparaîtront jamais dans CT.
  • Renseignez l’équipe responsable, la méthode de renouvellement, l’environnement et la destination d’alerte avant le déclenchement du premier avertissement de renouvellement.
  • Gardez la surveillance CT activée pour détecter les émissions publiques inattendues, mais traitez-la comme une source de découverte.

La place de Nocert

Nocert utilise les données CT publiques pour en déduire des noms d’hôte candidats, sans considérer une entrée de journal comme un élément d’inventaire. Il analyse les points de terminaison TLS accessibles afin de confirmer ce qui est réellement présenté, puis ajoute la découverte interne effectuée par Sentinel. CT reste un contrôle distinct utile pour détecter les émissions publiques inattendues ; Nocert se concentre sur l’inventaire observé des environnements publics et privés.

Sources primaires

Cette note s’appuie sur la RFC 6962, la politique Certificate Transparency de Chrome, les exigences de base du CA/Browser Forum et la documentation de Let’s Encrypt relative à Certificate Transparency.