Hochsicheres Certificate-Transparency-Monitoring mit Red Sift Certificates

Öffentliche PKI und digitale Zertifikate bieten für die meisten Internetpräsenzen eine akzeptable Grundlage, aber manche bergen ein deutlich höheres Risiko als andere. Bereiche wie Ihre Anwendungs-Login-Seite, Zahlungsabläufe, Unternehmensdomains und alles, was Ihrer Marke schaden könnte, wenn es imitiert wird, sind bevorzugte Ziele für Angreifer. Diese Bereiche müssen aktiv geschützt werden, indem Abwehrmaßnahmen mit Technologien wie Certificate Transparency (CT) und CAA aufgebaut werden. Da wir bereits ausführlich auf High-Assurance CT eingegangen sind, wollten wir uns hier auf die praktischen Aspekte der Erkennung nicht autorisierter Ausstellungen, der Anwendung verfügbarer Präventionsmechanismen und der Konfiguration von hochsicherem Monitoring mit Red Sift Certificates konzentrieren.

Certificate Transparency (CT) ist ein offener Standard, der öffentlich vertrauenswürdige Zertifizierungsstellen (Certificate Authorities, CAs) dazu verpflichtet, jedes von ihnen ausgestellte Zertifikat in öffentlich prüfbaren, nur anhängbaren Protokollen zu erfassen. Dadurch ist jedes für Ihre Domain ausgestellte Zertifikat für jeden sichtbar.

CT wurde entwickelt, um eine grundlegende Schwäche der öffentlichen PKI zu beheben: Jede CA im Trust Store kann technisch gesehen ein Zertifikat für jede beliebige Domain ausstellen. CT verhindert dies nicht, macht aber nicht autorisierte Ausstellungen erkennbar. Red Sift erfasst und verarbeitet CT-Protokolle seit 2017 und hat damit einen der umfassendsten verfügbaren Datenspeicher zur Zertifikatserkennung aufgebaut.

Die erste Verteidigungslinie ist die Prävention, und diese beginnt mit einer DNS-CAA-Richtlinie (Certification Authority Authorization). Eine CAA-Richtlinie ermöglicht es Ihnen festzulegen, welche CAs Zertifikate für Ihre Domain ausstellen dürfen. Ohne eine solche Richtlinie kann jede CA ein Zertifikat für Ihre Bereiche ausstellen. Bereits eine grundlegende CAA-Konfiguration reduziert Ihre Angriffsfläche erheblich.

Empfohlene Grundeinstellung: Grundlegende CAA-Richtlinie mit Standard-CT-Monitoring-Einstellungen.

Definieren einer CAA-Richtlinie. Richten wir nun eine CAA-Richtlinie mit Red Sift Certificates ein. Bevor Sie etwas festlegen, finden Sie heraus, wer aktuell für Ihre Domains ausstellt. Andernfalls könnte ein neuer Eintrag die rechtmäßige Ausstellung über Nacht unterbrechen. Die Issuer-Facette auf der Zertifikate-Seite zeigt dies sofort an. Filtert man beispielsweise nach „Hostnamen enthält redsift.com“, erhält man Let's Encrypt (114), Google Trust Services (34), Sectigo (24) und Amazon (4).

Diese Liste lässt sich direkt in eine CAA-Richtlinie übersetzen, die Sie in Ihrem DNS-Eintrag einrichten müssen:

redsift.com.  CAA  0  issue      "letsencrypt.org"
redsift.com.  CAA  0  issue      "pki.goog"
redsift.com.  CAA  0  issue      "sectigo.com"
redsift.com.  CAA  0  issue      "amazon.com"
redsift.com.  CAA  0  issuewild  "letsencrypt.org"
redsift.com.  CAA  0  issuewild  "pki.goog"
redsift.com.  CAA  0  issuewild  "sectigo.com"
redsift.com.  CAA  0  iodef      "mailto:security@redsift.com"

issue deckt reguläre Zertifikate ab, issuewild deckt Wildcard-Zertifikate ab. Beschränken Sie die Wildcard-Liste auf die CAs, die Sie tatsächlich für Wildcard-Ausstellungen nutzen; der Filter „Wildcard“ in Red Sift Certificates zeigt in Kombination mit einem „Hostnamen“-Filter Ihre aktuelle Wildcard-Nutzung. Benötigen Sie Hilfe bei den Identifier-Domains? Mit diesem CAA-Generator können Sie die korrekte Identifier-Domain für jede CA nachschlagen.

CAs sind verpflichtet, CAA-Einträge vor der Ausstellung zu prüfen und zu beachten. Sollte ein entdecktes Zertifikat gegen Ihre CAA-Richtlinie verstoßen, kennzeichnet Red Sift Certificates das CAA-Konfigurationsproblem (zum Beispiel einen fehlerhaften CAA-Eintrag oder eine fehlende Eigenschaft) und sendet Ihnen zur Sichtbarkeit eine Benachrichtigung.

CAA verhindert, dass regelkonforme CAs nicht autorisierte Zertifikate ausstellen, stoppt jedoch keine kompromittierte oder betrügerische CA. CT-Monitoring ist die Methode, mit der Sie erkennen, was CAA nicht verhindern kann.

Red Sift Certificates überwacht CT-Protokolle kontinuierlich und erstellt für jedes neu entdeckte Zertifikat, das zu Ihren Domains passt, einen Fall. Jeder Fall wird automatisch anhand einer Reihe von Abschluss- und Eskalationsregeln bewertet, um festzustellen, ob das Zertifikat rechtmäßig, unerwartet oder ein potenzieller Hinweis auf eine Kompromittierung ist.

Abschlussregeln lösen Fälle automatisch auf, wenn ausreichend Belege dafür vorliegen, dass das Zertifikat rechtmäßig ist:

Standard-CT-Monitoring kennzeichnet Anomalien reaktiv. Hochsicheres CT-Monitoring verfolgt einen strengeren Ansatz: Es erstellt ein vollständiges Inventar aller Zertifikate, die Sie besitzen, und behandelt standardmäßig alles in CT-Protokollen, das nicht in diesem Inventar enthalten ist, als verdächtig.

Dafür sind zwei Dinge erforderlich:

1. Ein vollständiges „bekannt-gut“-Inventar. Aufgebaut durch den Import von Zertifikaten über CA-Integrationen oder die Create-Certificate-API. Jedes importierte Zertifikat wird automatisch als bestätigt markiert (bekanntermaßen unter Ihrer Kontrolle).
2. Strikte Eskalationsregeln. Konfiguriert, um jedes Zertifikat zu eskalieren, das innerhalb eines kurzen Zeitfensters nicht erfasst wurde.

Hinweis: CT-Protokolle haben eine inhärente Merge-Verzögerung, die bei manchen Protokollen bis zu 24 Stunden betragen kann. Red Sift verarbeitet Zertifikate, sobald sie in CT-Protokollen erscheinen, nahezu in Echtzeit, jedoch nicht sofort.

Certificate Transparency verwandelt ein unsichtbares Risiko – dass jede CA für jede Domain ausstellen kann – in ein öffentlich prüfbares Signal. Doch rohe CT-Daten sind unübersichtlich; um daraus ein zuverlässiges Frühwarnsystem zu machen, braucht es ein bekannt-gutes Inventar, sinnvolle Abschlussregeln und strikte Eskalationsschwellen.

Red Sift Certificates vereint diese drei Ebenen an einem Ort: Durchsetzung der CAA-Richtlinie, kontinuierliches CT-Monitoring und hochsichere Eskalation, gestützt auf nahezu ein Jahrzehnt CT-Protokollerfassung. Beginnen Sie mit der empfohlenen Grundeinstellung und verschärfen Sie die Eskalationsregeln für Ihre wichtigsten Domains, sobald Ihr bekannt-gutes Inventar reift.