Viele sind überrascht, wenn sich herausstellt, dass eine neu erstellte, nirgendwo beworbene Subdomain (beispielsweise teszt.pelda.hu oder fejlesztes.pelda.hu) bereits wenige Minuten nach ihrer Erstellung Besucher verzeichnet und sogar Angriffsversuche erhält. Der Grund dafür ist Certificate Transparency (CT).

Was ist „Certificate Transparency“?

Certificate Transparency ist ein öffentliches Protokollsystem: Jedes von allen Browsern akzeptierte SSL-Zertifikat muss bei seiner Ausstellung in mehreren voneinander unabhängigen öffentlichen Protokollen eingetragen werden. Chrome und Safari akzeptieren keine Zertifikate, die nicht in diesen Protokollen eingetragen sind, sodass heute praktisch jedes Zertifikat öffentlich ist.

Das System dient dazu, festzustellen, ob eine Zertifizierungsstelle versehentlich oder vorsätzlich unberechtigterweise ein Zertifikat für eine Domain ausstellt. Die Protokolle können von jedermann eingesehen werden, sodass solche Zertifikate nicht verborgen bleiben können.

Was sagt dies über meine Subdomains aus?

Da das Zertifikat alle Domains und Subdomains enthält, für die es ausgestellt wurde, kann jeder anhand der Protokolle alle Subdomains einer Domain auflisten, für die jemals ein Zertifikat ausgestellt wurde. Dazu genügt es, in die Suchfunktion von crt.sh Folgendes einzugeben: %.pelda.hu.

Auf unseren cPanel-Hosting-Paketen beantragt AutoSSL automatisch ein Zertifikat für jede Subdomain, sodass der Name jeder Subdomain in die Protokolle aufgenommen wird.

Dies stellt an sich keine Sicherheitslücke dar: Die Protokolle enthalten lediglich die Namen, nicht jedoch den Inhalt der Website. Es gibt jedoch einige Punkte, auf die Sie achten sollten:

• Der Name der Subdomain ist kein Geheimnis. Verlassen Sie sich nicht darauf, dass eine „versteckte“ Subdomain (beispielsweise eine Testseite oder ein Admin-Bereich) verborgen bleibt. Schützen Sie sie mit einem Passwort; siehe: Passwortschutz für Verzeichnisse in cPanel.
• Verwenden Sie keinen verräterischen Namen. Der Name der Subdomain sollte weder Kundennamen noch Projektnamen noch interne Informationen enthalten, die Sie nicht öffentlich machen möchten.
• Schließen Sie Installationen zügig ab. Angreifer überwachen die Protokolle und suchen auf Domains mit neuen Zertifikaten sofort nach unvollendeten Installationen. Eine unvollendete WordPress-Installation kann innerhalb weniger Minuten übernommen werden. Wenn Sie eine neue Website installieren, schließen Sie die Installation unverzüglich ab oder schützen Sie das Verzeichnis während der Installation mit einem Passwort.

Können Subdomains ausgeblendet werden?

Ein Wildcard-Zertifikat (*.pelda.hu) hinterlässt im Protokoll lediglich den Eintrag *.pelda.hu, nicht jedoch die Namen der einzelnen Subdomains. Siehe: Was ist ein Wildcard-SSL-Zertifikat? Beachten Sie jedoch, dass die Subdomains auch über die DNS und andere Quellen ermittelt werden können; daher besteht der eigentliche Schutz in der Passwort- und Zugriffsbeschränkung und nicht in der Verschleierung des Namens.

Wie können Sie dies zu Ihrem eigenen Schutz nutzen?

Certificate Transparency hilft auch Ihnen: Sie können überprüfen, ob jemand anderes ein Zertifikat für Ihre Domain beantragt hat.

• Suchen Sie Ihre Domain auf der Seite crt.sh und prüfen Sie, ob Sie alle ausgestellten Zertifikate kennen.
• Bestimmte Dienste (wie beispielsweise Cert Spotter oder der Cloudflare-Zertifikatsmonitor) benachrichtigen Sie per E-Mail, wenn ein neues Zertifikat für Ihre Domain ausgestellt wird.

Sollten Sie ein Zertifikat finden, das Sie nicht beantragt haben, wenden Sie sich bitte an unseren Support. Gegen eine künftige unbefugte Ausstellung können Sie sich durch die Einrichtung eines CAA-Eintrags schützen.