Certificate Transparency （证书透明）是什么？
HTTPS 网站的身份认证是通过证书信任链完成的，浏览器从站点证书开始递归校验父证书，直至出现信任的根证书（根证书列表一般内置于操作系统，Firefox 则自己维护）。然而，受信任的 CA（证书颁发机构）有好几百个，他们成为整个网站身份认证过程中一个较大的攻击面。实际上，目前由于 CA 失误导致错误签发证书；以及个别 CA 出于某些目的（如监控加密流量）故意向第三方随意签发证书这两种情况时有发生。
无论是 CA 无意或有意签发出来的「非法证书」，都能通过目前的证书链校验机制的验证。这些 CA 签发的「非法证书」相比自签名的「无效证书」，更难被发现，即使被发现依靠现有机制也很难快速消除影响。
另外，域名所有者的管理不善也可能导致域名配置被第三方控制，从而第三方能够向 CA 申请你网站的证书（特别是 DV 类型的证书）。这种情况，发现和处理同样很麻烦。
而 Certificate Transparency （证书透明，简称CT）就是为了解决这些问题诞生的，它可以直译为证书透明度，由 Google 主导，并由 IETF 标准化为 RFC 6962。Certificate Transparency 的目标是提供一个开放的审计和监控系统，可以让任何域名所有者或者 CA 确定证书是否被错误签发或者被恶意使用，从而提高 HTTPS 网站的安全性。
Certificate Transparency 整套系统由三部分组成：
1）Certificate Logs（证书日志）；
2）Certificate Monitors（证书监控）；
3）Certificate Auditors（证书审计）。
完整的工作原理可以看官方文档：How Certificate Transparency Works （/how-ct-works）。
简单说来，证书所有者或者 CA 都可以主动向 Certificate Logs 服务器提交证书，所有证书记录都会接受审计和监控。支持 CT 的浏览器（目前只有
Chrome）会根据 Certificate Logs 中证书状态，作出不同的反应。CT 不是要替换现有的 CA 设施，而是做为补充，使之更透明、更实时。
chrome浏览器是什么浏览器图标Certificate Logs 服务器由Google 或CA 部署，这个页面（/known-logs）列举了目前已知的服务器。合法的证书提交到 CT Logs 服务器之后，服务器会返回 signed certificate timestamp（签名证书时间戳，简称SCT），要启用 CT 就必须用到 SCT 信息。
Certificate Transparency 与 Chrome浏览器
如何不启用 CT 会有什么后果呢？实际上，对大部分网站影响都不大。首先 CT 策略目前只有 Chrome浏览器 支持；其次 Chrome 也知道现在支持 CT 的网站并不多，所以对于没有提供 SCT 信息的 HTTPS 网站也没有太大的影响。
对于使用 EV 证书的网站，如果没有按要求提供 SCT 信息，Chrome 不会显示小绿条。一般 EV 证书提供商都会把 SCT 信息嵌入到证书之中，大家如果有 EV 证书可以检查一下。
对于其它类型的证书（OV、DV 等），如果没有提供 SCT 信息，最新的 Chrome 只是会在点击地址栏小绿锁时给出说明，内容如下：
The server did not supply any Certificate Transparency information.
服务器未提供任何 Certificate Transparency 信息。
而提供 SCT 信息之后，Chrome 的提示是这样的：
The server supplied valid Certificate Transparency information.
服务器提供了有效的 Certificate Transparency 信息。

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。