Certificate Transparency Observatory - Certificate Transparency 的瑞士军刀

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

爱意满满的作品展示区。

这是一个创建于 3196 天前的主题，其中的信息可能已经有所发展或是发生改变。

最近 Certificate Transparency 标准得到了更加广泛的支持，连老流氓 CNNIC 都开 Log Server 了。

介于目前 Log Server 鱼目混珠数量较多， Certificate Transparency Observatory 每隔一分钟会向所有的公开 Log Server 发送 STH Retrive 和 Merkle Consistency Proof 请求来确保流氓行为不会出现。所有的 misbehavior 都会被 Certificate Transparency Observatory 记录在案，想赖都没法赖。

另外今天晚上花了几个小时实现了快速向所有的 Log Server 提交证书的功能，如果你的 CA 前发的证书不含 SCT ，你可以使用我们的 Submit a Certificate 功能快速的向 11 个公开服务器提交证书，服务器返回的 .sct 文件会保存在一个 .zip URL 方便在服务器上 wget。此功能对服务器在墙内的同学有奇效因为 Google 的 3 个 Log Server 在国内不使用特殊手段都是没法访问的。另外我们使用 goroutine 来提升提交速度，一般几秒钟就可以提交好全部 11 个服务器。

地址：ct-status.org

有问题欢迎跟帖，部分功能仍在开发中，新功能上线后同样会在此贴公布。目前想做的：
* API
* 各种图表
* 新证书监控（比如如果你是 example.com 的站长我们希望可以在 example.com 的证书被签发时获得邮件通知）

第 1 条附言 · 2016-03-04 17:25:31 +08:00

Mar 4 更新：
* 增加了每个 Log 的 Trend 显示，目前数据量较少，过几天应该图表会看起来更好看些
* 重新设计了 Certificate Submission 功能，现在提交时会有实时进度条显示

Go 的 "http/template" 真是生产力一大阻碍...

log

Server

证书

certificate

3 条回复 • 2016-03-03 17:21:29 +08:00

DesignerSkyline

2016-03-03 16:55:19 +08:00

原来其实就有一个 CT observatory https://ctwatch.net/

pupboss

2016-03-03 17:03:55 +08:00

已经试了，很不错！不过有的证书，不被部分服务器 trust
这个特性貌似只有在 Chrome 上面有，所以另外 8 台服务器信任的.sct 有什么用呢？

dndx

2016-03-03 17:21:29 +08:00

@pupboss 安装到 web server 上以后全部会发给浏览器，浏览器信任那个就用哪个，理论上只要一个信任就可以满足 CT 要求。

有些服务器貌似只支持添加他们自己的证书，比如 Symantec ， CNNIC 不过全部发过去也没啥坏处所以我就偷懒直接开 11 个 goroutine 提交了，除非全部失败否则问题不大..