公钥基础设施(PKI)是互联网安全的核心,依赖证书颁发机构(CA)签发数字证书以确保通信安全。PKI的信任模型通过层级结构传递信任,但历史上的CA安全事件暴露了其脆弱性。证书透明度(CT)机制旨在监控CA行为,提升安全性。尽管PKI运行良好,但面临后量子密码学和短生命期证书等挑战,未来可能更加分散和自动化。
自2020年推出以来,Radar持续增加新功能。今年新增区域流量洞察和详细证书透明度数据,提供更深入的互联网健康与安全视角。区域流量洞察展示本地流量趋势,包括设备类型和人机流量比例,增强网络性能理解;证书透明度数据则帮助用户了解TLS证书的发行情况,提升互联网信任基础。
证书透明度(CT)是一种可验证的日志系统,旨在检测恶意或错误颁发的TLS证书,增强互联网信任模型的安全性。CT机制弥补了传统CA自我监管的不足,确保不当行为的证书机构无法隐瞒问题证书。主要浏览器的CT采纳要求所有证书必须具备签名时间戳(SCT),通过公开日志和加密保证,使证书颁发过程可审计,从而提升网络安全。
调查显示,Cloudflare的公共DNS服务器1.1.1.1被克罗地亚Fina CA错误签发12份数字证书,微软是唯一信任这些证书,导致Windows和Edge用户面临安全风险。Fina CA称这是内部测试错误,私钥未泄露。Cloudflare承认未关注证书透明度机制,表示将改进监控措施。
克罗地亚CA未经授权向1.1.1.1签发了3份TLS证书,长达4个月未被发现,导致Windows和Edge用户面临劫持风险。微软信任该证书,但谷歌和苹果未受影响。Cloudflare和微软正在调查此事件,证书透明度机制未得到重视。
任何公共认证机构(CA)均可为网站颁发证书,存在信任风险。证书透明度(CT)确保所有证书可公开审计,保护网站运营者免受不诚实CA的影响。尽管CT已取得成功,但仍面临运营挑战。新的静态CT API设计旨在提高效率、降低成本,确保CT生态系统的稳定性。
Mozilla Firefox v135.0 正式版发布,强制要求 TLS 证书透明度,未启用透明度的旧证书将不被信任。新版本改进包括支持 XZ 文件、关闭选项卡快捷键、重命名复制链接功能及启用 AI 聊天机器人。
证书固定已过时,现代标准包括短期证书寿命、定期轮换中间证书、增加证书透明度和多视角域控制验证。这些标准提供相同安全级别,减少管理负担和风险。
完成下面两步后,将自动完成登录并继续当前操作。