Zertifikatsüberwachung (Certificate Transparency)
Wie die für Ihre Domains ausgestellten Zertifikate zwischen den Audits gelesen werden, was eines ungewöhnlich macht und was bei einer Benachrichtigung zu tun ist.
Jedes für Ihre Domain und ihre Subdomains ausgestellte Zertifikat ist öffentlich: Die Zertifizierungsstellen tragen es in die Certificate-Transparency-Logs ein. Perimetry Cloud liest diese Logs für jede verifizierte Domain zwischen den Audits und meldet Ihnen, wenn ein Zertifikat ungewöhnlich ist. Das ist oft das erste Anzeichen dafür, dass jemand eine Subdomain übernommen oder eine Phishing-Seite unter Ihrem Namen eingerichtet hat.
Wie oft die Logs gelesen werden
- bis zu stündlich in den Agency-Tarifen;
- alle 6 Stunden im Solo-Tarif;
- einmal täglich im Free-Tarif.
Die Karte Für diese Domain ausgestellte Zertifikate auf der Seite der Domain zeigt, wann die Logs zuletzt gelesen wurden. Haben sie nicht geantwortet, steht das dort, und es wird bald erneut versucht.
Das erste Lesen
Das erste Lesen dient als Referenz: Die bereits vorhandenen Zertifikate werden ohne Benachrichtigung erfasst. Ab dann werden nur neue Zertifikate beurteilt. Ein Zertifikat, das mehr als 14 Tage vor unserem ersten Sehen ausgestellt wurde, kommt ebenfalls stillschweigend zur Referenz.
Was ein Zertifikat ungewöhnlich macht
Ein neues Zertifikat wird mit Begründung markiert, wenn:
- nach CAA nicht erlaubt: es von einer Zertifizierungsstelle stammt, die Ihre CAA-Einträge nicht erlauben (bei einem Wildcard-Zertifikat zählen die
issuewild-Einträge); - neue Zertifizierungsstelle: es von einer Stelle stammt, die für diese Domain noch nie ein Zertifikat ausgestellt hat und die Ihre CAA-Einträge nicht ausdrücklich erlauben;
- neuer Name: es einen Host nennt, der noch nie gesehen wurde, weder in einem früheren Zertifikat noch unter den Hosts des neuesten Audits.
Gewöhnliche Verlängerungen bleiben unauffällig.
Die Benachrichtigung
Werden ungewöhnliche Zertifikate gelesen, geht eine Benachrichtigung an jeden aktiven Kanal der Domain auf der Seite „Benachrichtigungen“ (und an die ihres Kunden in den Agency-Tarifen), unabhängig von deren Regel und ohne auf das nächste Audit zu warten. Zertifikate erscheinen außerdem auf der Seite Änderungen.
Ein Zertifikat prüfen
Die Karte listet die gesehenen Zertifikate auf, ungewöhnliche zuerst, mit ihren Namen, der Zertifizierungsstelle, Ausstellungs- und Ablaufdatum und ob eine Benachrichtigung gesendet wurde. Zeigen Sie Ungewöhnlich oder Alle an.
Ist ein ungewöhnliches Zertifikat legitim (Sie oder Ihr Hoster haben es beantragt), klicken Sie auf Erwartet: Die Karte vermerkt, wer es markiert hat und wann. Nicht geprüft macht das rückgängig. Betrachter können Zertifikate nicht markieren.
Wenn ein Zertifikat nicht von Ihnen stammt
Bitten Sie die ausstellende Zertifizierungsstelle, es zu widerrufen. Prüfen Sie Ihre DNS-Einträge und wer Zugriff auf Ihre Konten beim Hoster und beim Registrar hat. Fügen Sie dann einen CAA-Eintrag hinzu, der nur die Zertifizierungsstellen aufführt, die Sie nutzen: Der Generator für DNS-Einträge erstellt einen, und der CAA-Befund Ihres Berichts liefert einen kopierfertigen Eintrag.