Cloudflare hat die allgemeine Verfügbarkeit des Dienstes Certificate Transparency Monitoring angekündigt, der öffentliche Certificate-Transparency-Protokolle überwacht, um neue TLS-Zertifikate zu erkennen, die mit den Domains der Kunden verknüpft sind. Die wichtigste Änderung besteht darin, dass der Dienst künftig keine Warnungen mehr zu Zertifikaten sendet, die Cloudflare im Namen des Kunden ausstellt. Dadurch konzentrieren sich die eingehenden Nachrichten stärker auf unerwartete Zertifikate oder solche, die nicht von Cloudflare ausgestellt wurden.
Der Dienst wurde 2019 zunächst als öffentliche Betaversion eingeführt und wird derzeit für mehr als 650.000 Kundendomains genutzt. Die Überwachung der Certificate-Transparency-Protokolle liefert einen frühzeitigen Hinweis darauf, dass ein Zertifikat für einen Hostnamen innerhalb einer bestimmten Domain ausgestellt wurde. Dies kann dabei helfen, versehentlich oder unbefugt ausgestellte Zertifikate zu erkennen.
Weniger Rauschen durch Verlängerungen
Das Hauptproblem bestand darin, dass Cloudflare eine große Anzahl von Zertifikaten im Namen der Kunden ausstellt, darunter Verlängerungen von Universal SSL, Zertifikate des Advanced Certificate Manager und Backup-Zertifikate. Da Zertifikate in öffentlichen CT-Protokollen registriert werden müssen, damit ihnen wichtige Browser wie Google Chrome und Apple Safari vertrauen, erschienen diese Ausstellungen in der Überwachung neben externen Zertifikaten.
Außerdem haben Zertifikate eine kurze Laufzeit und werden automatisch verlängert. Ein einzelnes Universal-SSL-Zertifikat kann sich etwa alle 60 Tage und damit bis zu sechsmal jährlich verlängern. Nach der Abstimmung des CA/Browser Forum über eine Verkürzung der maximalen Zertifikatslaufzeit auf 47 Tage bis 2029 wird mit einer höheren Verlängerungsfrequenz gerechnet. Dadurch drohte eine berechtigte Warnung zwischen Benachrichtigungen über routinemäßige Verlängerungen unterzugehen.
Die zur Filterung verwendete Kennung
Cloudflare verwendet den Wert spki_sha256, einen SHA-256-Hash der DER-kodierten SubjectPublicKeyInfo-Struktur. Der Zertifikatsausstellungsdienst berechnet diesen Wert aus der Zertifikatsignierungsanforderung, sobald der Schlüssel erstellt wird, also vor Beginn des Ausstellungsprozesses.
Der Benachrichtigungsdienst berechnet den Wert anhand des öffentlichen Schlüssels im CT-Protokolleintrag erneut und sucht ihn in der Datenbank des Zertifikatsausstellungsdienstes. Wird eine Übereinstimmung gefunden, weiß Cloudflare, dass das Zertifikat von ihren Systemen ausgestellt wurde, und unterdrückt die Warnung. Ist der Wert nicht vorhanden, wird die Warnung wie bisher versendet.
Der öffentliche Schlüssel wurde ausgewählt, weil er in den Phasen der Zertifikatsignierungsanforderung, des vorläufigen Zertifikats und des endgültigen Zertifikats unverändert bleibt. Außerdem erstellt Cloudflare für jeden Ausstellungsvorgang ein neues Schlüsselpaar. Dadurch kann er als praktische und eindeutige Kennung für die Zertifikatsanforderung verwendet werden, selbst wenn die Einträge des vorläufigen und des endgültigen Zertifikats zu unterschiedlichen Zeitpunkten eintreffen.
Was ändert sich bei den Warnungen?
- Von Cloudflare verwaltete Zertifikate, darunter Universal SSL, Advanced Certificate Manager, Total TLS und Backup-Zertifikate, erzeugen keine E-Mail-Warnungen mehr.
- Aufgegebene vorläufige Zertifikate, die gelegentlich registriert werden, ohne dass der Ausstellungsvorgang abgeschlossen wird, erzeugen keine Warnungen, solange sie mit einer bei Cloudflare bekannten Ausstellung verknüpft sind.
- Vom Kunden hochgeladene benutzerdefinierte Zertifikate erzeugen weiterhin Warnungen, da ihre Schlüssel nicht von Cloudflare erstellt wurden und für sie kein Eintrag im dortigen Ausstellungsdienst vorhanden ist.
Cloudflare hat außerdem die E-Mail-Nachrichten aktualisiert. Sie zeigen nun den Namen der betroffenen Domain in der Betreffzeile an und enthalten Zertifikatsdetails sowie einen Link zum Zertifikat im Dashboard, damit der Nutzer es prüfen und geeignete Maßnahmen ergreifen kann.
Verfügbarkeit und nächste Schritte
Die Filterung ist für bestehende Nutzer bereits aktiviert; es ist keine Aktion erforderlich. Wer den Dienst noch nicht verwendet hat, kann ihn im Cloudflare-Dashboard über den Pfad SSL/TLS, dann Edge Certificates und anschließend Certificate Transparency Monitoring aktivieren. Der Dienst ist in allen Tarifen ohne zusätzliche Kosten verfügbar, mit einheitlichen Einstellungen für Benachrichtigungsempfänger über alle Tarifstufen hinweg.
Cloudflare plant später, den Dienst in Cloudflare Notifications zu integrieren. Dadurch können CT-Warnungen an Webhooks, PagerDuty oder zusätzliche E-Mail-Adressen weitergeleitet werden, anstatt sich wie derzeit ausschließlich auf E-Mail zu stützen.