Certificate Transparency n’est pas un inventaire de certificats
Les journaux CT constituent un point de départ utile pour découvrir les certificats publics. Ils ne remplacent pas un inventaire opérationnel : ils ne montrent ni tous les points de terminaison déployés, ni tous les certificats internes, ni l’équipe responsable du renouvellement.
Ce que CT fait bien
Certificate Transparency rend publiques les émissions de certificats. La RFC 6962 définit le protocole réellement utilisé par les journaux publics (les journaux plus récents emploient le format en tuiles compatible static-ct-api). Les autorités de certification, les exploitants de sites, les navigateurs et les moniteurs peuvent ainsi examiner les certificats émis et détecter une émission suspecte.
Chrome exige que les certificats TLS de confiance publique émis après le 30 avril 2018 prennent en charge CT afin d’être reconnus comme valides. Cela fait de CT un flux de découverte public utile pour les noms contrôlés par votre organisation.
CT peut montrer
- Certificats publics émis pour les noms que vous surveillez.
- Émission publique inattendue ou non autorisée pour vos domaines.
- Preuve historique qu’un nom figurait dans un certificat public.
CT ne prouve pas
- Certificats de PKI privée, autosignés, de laboratoire, d’équipement ou réservés à un usage interne.
- Si un certificat consigné est réellement déployé sur un point de terminaison actif.
- L’équipe responsable du service, la méthode de renouvellement et le circuit d’alerte.
- Tous les noms d’hôte présentés derrière des certificats génériques, un routage SNI ou des ports non standard.
Ce qui manque à l’inventaire
CT constitue une preuve du côté de l’émetteur. Il peut indiquer qu’un certificat public a été consigné pour un nom. Cela ne prouve ni que le certificat est encore déployé, ni que le service est accessible aux utilisateurs, ni que l’équipe appropriée recevra une alerte de renouvellement.
Les exigences de base du CA/Browser Forum portent sur les certificats de serveur de confiance publique et excluent explicitement les PKI d’entreprise réservées à un usage interne. Ces certificats internes sont souvent importants lors des pannes et des audits, mais consulter les journaux CT publics ne suffit pas à les faire apparaître.
Un inventaire utile comporte quatre champs que CT ne peut pas fournir
Source
Le certificat a-t-il été trouvé dans les journaux CT, le DNS, une analyse directe, une analyse par agent ou un import manuel ?
Point de terminaison
Quel hôte, quel port, quel protocole et quel nom SNI le présentent aujourd’hui ?
Responsable
Quelle équipe peut le renouveler, le remplacer ou le retirer intentionnellement ?
Processus de renouvellement
L’émission est-elle automatisée, déléguée à un fournisseur ou dépend-elle toujours d’un ticket et d’une modification manuelle ?
Liste de contrôle pratique
- Amorcez la découverte publique à partir des journaux CT pour les domaines que vous contrôlez.
- Confirmez le déploiement réel par des analyses de points de terminaison, y compris des vérifications qui tiennent compte de SNI et des ports non standard.
- Importez des zones DNS ou des listes d’hôtes connus afin que l’inventaire ne se limite pas à ce que les autorités de certification ont émis.
- Analysez les plages internes approuvées depuis l’intérieur du réseau à la recherche de certificats privés qui n’apparaîtront jamais dans CT.
- Renseignez l’équipe responsable, la méthode de renouvellement, l’environnement et la destination d’alerte avant le déclenchement du premier avertissement de renouvellement.
- Gardez la surveillance CT activée pour détecter les émissions publiques inattendues, mais traitez-la comme une source de découverte.
La place de Nocert
Nocert utilise les données CT publiques pour en déduire des noms d’hôte candidats, sans considérer une entrée de journal comme un élément d’inventaire. Il analyse les points de terminaison TLS accessibles afin de confirmer ce qui est réellement présenté, puis ajoute la découverte interne effectuée par Sentinel. CT reste un contrôle distinct utile pour détecter les émissions publiques inattendues ; Nocert se concentre sur l’inventaire observé des environnements publics et privés.
Sources primaires
Cette note s’appuie sur la RFC 6962, la politique Certificate Transparency de Chrome, les exigences de base du CA/Browser Forum et la documentation de Let’s Encrypt relative à Certificate Transparency.