证书透明度

背景

当前的数字证书管理系统中的缺陷正使欺诈证书导致的安全问题与隐私泄露风险变得日益明显。
2011年，荷兰的数字证书机构DigiNotar在入侵者利用其基础设施成功创建了超过500个欺诈性数字证书后申请破产。
Ben Laurie和Adam Langley构思了证书透明度，并将一个框架实现开发为开源项目。

优点

数字证书管理的问题之一是，欺诈性证书需要很长时间才能被浏览器提供商发现、报告和撤销。证书透明度有助于避免在瞒过域持有者的情况下为域颁发证书。
证书透明度不需要侧信道通信来验证证书，它们由在线证书状态协议（OCSP）或Convergence等技术完成。证书透明度也不需要信任第三方。

证书透明度监视器

监视器是作为日志服务器的客户端，检查日志以确保行为正确。发生不一致则表示日志没有正确运行。日志的数据结构（Merkle树）上的签名防止日志否认不良行为。

证书透明度审计器

审计器也作为日志服务器的客户端运行。证书透明度审计器使用有关日志的部分信息验证日志及其他部分的信息。

证书颁发机构实现

2013年3月，Google推出其首个证书透明度日志。 2013年9月，DigiCert成为首个实现证书透明度的数字证书认证机构。
Google Chrome在2015年开始要求新颁发的扩展验证证书（EV）提供“证书透明度”。因为被发现有187个证书在未经域所有者知晓的情况下被颁发，赛门铁克（Symantec）被要求自2016年6月1日起新颁发的所有证书必须配备证书透明度。
2017年4月，Google将原定的2017年10月Chrome将要求所有SSL证书支持证书透明度（CT）的日期推迟至2018年4月，以给行业更多准备时间