🛡️ Certificate Transparency: защита, которую можно обойти?
🛡️ Certificate Transparency: защита, которую можно обойти? Механизм, который должен ловить поддельные сертификаты сайтов, не прошёл проверку практикой. Автор провёл собственную атаку — и браузер не заметил ничего подозрительного. Что это такое? Certificate Transparency (CT) — «прозрачность сертификатов». Когда удостоверяющий центр (УЦ — организация, которая выдаёт сайтам цифровые «удостоверения личности») выпускает сертификат, он обязан записать его в публичный лог (открытый список). Считается, что так любой желающий может заметить, что на чужой домен оформили «левый» сертификат. Почему это важно сейчас? На фоне отзыва сертификатов у многих российских доменов доверие к традиционным УЦ пересматривается, а CT называют панацеей. Но практика показывает другое. Что выяснилось в эксперименте? Запросы к CT-логам за подтверждением вернули ошибку 404. Затем автор выпустил собственный сертификат для habr.com и подменил соединение — классическая атака «человек посередине» (когда злоумышленник встаёт между вами и сайтом и читает весь трафик). Браузер посчитал соединение безопасным и ни разу не предупредил. Даже HSTS не помог. Вывод: CT ловит лишь один сценарий — когда хакер обманул честный УЦ. Но проверять это приходится через агрегаторы логов, которым доверия не больше, чем самим УЦ. А вы проверяли сертификаты своих сайтов по CT-логам? Защита или иллюзия — как думаете? 👇 #Кибербезопасность #CertificateTransparency #TLS