Certificate Transparency
# Certificate Transparency

Certificate Transparency (CT) ist ein Prozess, der die Prüfung ausgestellter digitaler Zertifikate für verschlüsselte Internetverbindungen ermöglichen soll. Der Standard sieht die Protokollierung aller durch eine Zertifizierungsstelle (Certificate Authority) ausgestellter digitaler Zertifikate in einem revisionssicheren Logbuch vor. Dieses soll die Erkennung irrtümlicher oder böswillig ausgestellter Zertifikate für eine Domain ermöglichen. Im Juni 2013 wurde er als experimenteller von der IETF angenommen. Der Standard wird maßgeblich von Google vorangetrieben.

Im September 2011 wurde bekannt, dass es Hackern gelungen war, in die Systeme der Zertifizierungsstelle DigiNotar einzudringen und sich für mehr als 500 Domains gefälschte Zertifikate auszustellen. Diese wurden in der Folge unter anderem zur Überwachung iranischer Bürger genutzt. Als Reaktion begann Google nach eigener Darstellung mit der Entwicklung von Certificate Transparency. Im März 2013 startete das Unternehmen den ersten Certificate Transparency Log, wenig später führte mit DigiCert die erste Zertifizierungsstelle das Verfahren ein. Seit Januar 2015 akzeptiert der von Google entwickelte Webbrowser Chrome neu ausgestellte Extended-Validation-Zertifikate nur noch, wenn ihre Ausstellung per Certificate Transparency protokolliert wurde. Im Juni 2016 zwang das Unternehmen die Zertifizierungsstelle Symantec an dem Prozess teilzunehmen, ansonsten würde Chrome vor Zertifikaten Symantecs warnen. Zuvor hatte Google festgestellt, dass Symantec falsche Zertifikate für Domains des Unternehmens ausgestellt hatte.

Seit 30. April 2018 zeigt Chrome eine Warnung bei Zertifikaten an, deren Ausstellung nicht protokolliert wurde. Dies gilt allerdings nur, wenn das Zertifikat nach dem 30. April 2018 ausgestellt wurde. Zertifikate, die vor dem Stichtag ausgestellt wurden, werden derzeit nicht berücksichtigt. Auch Apple erfordert die Protokollierung ausgestellter Zertifikate via CT. Firefox erfordert und prüft CT nicht. Auf der Website no-sct.badssl.com kann getestet werden ob der eigene Browser CT prüft. Ist dies der Fall zeigt der Browser eine Fehlermeldung an (z. B. bei Chrome "NET::ERR_CERTIFICATE_TRANSPARENCY_REQUIRED"). Ist dies nicht der Fall wird stattdessen eine rote Seite angezeigt. Auch Microsoft Edge prüft CT (siehe Testseite).

## Normen und Standards

CT wird fortwährend weiterentwickelt:

* B. Laurie, A. Langley, E. Kasper: RFC 6962 – Certificate Transparency. Juni 2013 (englisch).
* B. Laurie, E. Messeri, R. Stradling: RFC 9162 – Certificate Transparency Version 2.0. Dezember 2021 (löst RFC 6962 ab, englisch).
