Tag: sct

Google Chrome 67 將可以在 DevTools 裡看到 SCT 的內容

在 Twitter 上看到 Google Chrome 67 (下一個版本) 的 DevTools 將會顯示憑證上的 Certificate Transparency 資訊：

現在要看這個資訊比較麻煩，之後可以在瀏覽器裡直接讀就會簡單一些了...

話說回來，Let's Encrypt 上個月也支援 SCT 了：「Engineering deep dive: Encoding of SCTs in certificates」，不過目前只能先用 command line 工具看... 我拉了 Let's Encrypt 官方網站的 certificate 可以看到 (Let's Encrypt 那篇文章裡的範例)，但我自己 blog 的 certificate (序號 04ef0022ed7d5417f1ccbc011acf7fea9830) 看起來是在 Let's Encrypt 支援 SCT 之前申請的，沒看到 SCT 資訊... 要等下一次的 renew 了。

CloudFlare 也要提供 Certificate Transparency 的 Log 伺服器了...

看到 CloudFlare 請求加入 Chromium (Google Chrome) 的伺服器列表：「Certificate Transparency - Cloudflare "nimbus2017" Log Server Inclusion Request」。

對照之前的「Chromium 內提案移除 HPKP (HTTP Public Key Pinning)」以及「Let's Encrypt 的 Embed SCT 支援」，這樣看起來是瀏覽器內會有一份白名單，只有在這白名單上的 Embed SCT 才會被信任...

但弄到這樣的話，log server 是不是也要有稽核機制？

好像哪邊搞錯了方向啊...

Let's Encrypt 的 Embed SCT 支援

翻到 Let's Encrypt 的 Upcoming Features 時看到：

Embed SCT receipts in certificates
ETA: February, 2018

對 Embed SCT 不熟，所以查了查這個功能。

這指的是在簽發 SSL certficiate 後，把資料丟給 Certificate Transparency (CT) 伺服器後，伺服器會提供 signed certificate timestamp (SCT)；而這個資料放到 SSL certificate 內叫做 Embed SCT：(出自 CT 的 FAQ)

What is an SCT?
An SCT is a signed certificate timestamp. When a certificate authority or a server operator submits a certificate to a log, the log responds with an SCT. An SCT is essentially a promise that the log server will add the certificate to the log in a specific time. The time, known as the maximum merge delay (MMD), helps ensure that certificates are added to logs in a reasonable time. The SCT accompanies the certificate until the certificate is revoked. A TLS server must present the SCT to a TLS client (along with the SSL certificate) during the TLS handshake.

當使用 ECC 時會小於 100 bytes：

How big is an SCT?
SCTs are less than 100 bytes, assuming elliptic curve signatures are used.

這樣才能試著解釋前幾天提到要拔掉 HPKP 的事情：「Chromium 內提案移除 HPKP (HTTP Public Key Pinning)」，也就是為什麼他們是提 CT 解，而不是 DNS CAA 解...

不過我記得 CT server 可以自己架自己 submit 不是嗎？後來有另外規定一定要用第三方的嗎？這樣又很怪...