Apples logprogram for certifikatgennemsigtighed

Du kan læse mere om retningslinjerne for Apples logprogram for certifikatgennemsigtighed og om, hvordan du ansøger om adgang.

Målet for Apples logprogram for certifikatgennemsigtighed er at etablere en række logarkiver for certifikatgennemsigtighed (CT), der er godkendt på Apples platforme til at levere Tidsstemplinger for signeret certifikat (SCT) til offentligt godkendte TLS-servergodkendelsescertifikater.

Retningslinjer og krav for programmet

For at komme i betragtning til at få adgang til Apples logprogram for certifikatgennemsigtighed skal logarkiverne overholde alle de følgende krav:

• Logforekomster skal implementere CT som angivet af RFC6962.

• Et logarkiv må ikke præsentere to eller flere modstridende synspunkter på Merkle Tree på forskellige tidspunkter og/eller til forskellige parter.

• Den maksimale kombinationsforsinkelse (MMD) for logarkiver er 24 timer.

• Et logarkiv skal inkorporere et certifikat, som det oprettede en SCT for inden for MMD'en.

• En logforekomst skal overholde Apples driftstidskrav på 99 %, som målt af Apple.

• Et lognedbrud må ikke vare længere end MMD'en.

• Et logarkiv skal godkende certifikater, der er udstedt af Apples rodcertifikatmyndighed til overholdelse, for at overvåge logarkivets overholdelse af disse retningslinjer.

• Logarkiver skal godkende alle rodcertifikatmyndigheder, der er inkluderet i Apples Trust Store. Logarkiver har lov til at godkende yderligere rødder, der muligvis ikke er inkluderet i Apples Trust Store.

Maksimalt tre kvalificerede eller brugbare logforekomster pr. operatør er tilladt. For logarkiver uden certifikatudløbsbegrænsninger repræsenteres en forekomst som en nøgle til signering af URL og logarkiv. For logarkiver med certifikatudløbsbegrænsninger tæller en række tidsopdelte logarkiver som en enkelt forekomst. Her er et eksempel på en enkelt logforekomst, der kører fire tidsstykker:

Virksomhed A "Loggy 2020' log: accepts certificates that expire between 2020-01-01 00:00:00 UTC - 2021-01-01 00:00:00 UTC Virksomhed A "Loggy 2021' log: accepts certificates that expire between 2021-01-01 00:00:00 UTC - 2022-01-01 00:00:00 UTC Virksomhed A "Loggy 2022' log: accepts certificates that expire between 2022-01-01 00:00:00 UTC - 2023-01-01 00:00:00 UTC Virksomhed A "Loggy 2023' log: accepts certificates that expire between 2023-01-01 00:00:00 UTC - 2024-01-01 00:00:00 UTC

Logarkivers status på Apples platforme

Logarkiver, der ikke er inkluderet på Apples platforme, kan have en af følgende statusser:

Pending (Afventende)

Logarkivet har anmodet om inklusion på Apples liste over godkendte logarkiver, men er ikke blevet godkendt endnu. Et afventende logarkiv tæller ikke som "kvalificeret på nuværende tidspunkt" eller "tidligere kvalificeret."

Qualified (Kvalificeret)

Logarkivet er blevet godkendt til Apples program og gjort klar til distribution på Apples platforme. Et kvalificeret logarkiv tæller som "kvalificeret på nuværende tidspunkt."

Usable (Brugbar)

SCT'er fra logarkivet lever op til Apples retningslinjer for kunde-CT'er. Et brugbart logarkiv tæller som "kvalificeret på nuværende tidspunkt." Logarkivets overgang fra kvalificeret til brugbar efter minimum 74 dage med status som kvalificeret.

Read-only (Skrivebeskyttet)

Logarkivet er godkendt på Apples platforme, men er skrivebeskyttet, dvs. at logarkivet ikke længere godkender certifikatindsendelser. Et skrivebeskyttet logarkiv tæller som "kvalificeret på nuværende tidspunkt".

Tilbagetrukket

Logarkivet var godkendt på Apples platforme indtil det specifikke tidsstempel for tilbagetrækning. Et tilbagetrukket logarkiv tæller som "tidligere kvalificeret", hvis den pågældende SCT blev udstedt før tidsstemplet for tilbagetrækning. Et tilbagetrukket logarkiv tæller ikke som "kvalificeret på nuværende tidspunkt."

Rejected (Afvist)

Logarkivet er ikke og bliver ikke godkendt på Apples platforme. Et afvist logarkiv tæller ikke som "kvalificeret på nuværende tidspunkt" eller "tidligere kvalificeret."

Inklusionsproces

Efter et logarkiv er blevet godkendt til Apples logprogram for certifikatgennemsigtighed bliver logarkivet i en periode på 90 dage overvåget for at se, om det overholder Apples retningslinjer. I løbet af denne periode har logarkivet status som "afventende."

Apple kan afvise ethvert logarkiv efter eget skøn. Hvis dette sker, får logarkivet status som "afvist." Hvis Apple ikke opdager problemer i løbet af overvågningsperioden, kan logarkivet blive godkendt, hvorefter det får status som "kvalificeret."

Apple overvåger løbende logarkivet for at se, om det overholder retningslinjerne for logprogrammet. I løbet af denne periode kan et logarkivs status være "kvalificeret", "brugbar", "skrivebeskyttet" eller "tilbagetrukket".

Et logarkiv kan til enhver tid blive trukket tilbage, efter Apples skøn eller som resultat af manglende overholdelse af retningslinjerne for logprogrammet. Logarkivets status skifter derefter til "tilbagetrukket."

Ansøg om inklusion

Hvis du vil ansøge om at blive inkluderet i Apples logprogram for certifikatgennemsigtighed, skal du sende en e-mail til certificate-transparency-program@group.apple.com og inkludere det følgende:

• En beskrivelse af logarkivet

• Retningslinjerne for at godkende certifikater, herunder en liste over godkendte rodcertifikater efter Subject DN og SHA256-fingeraftryk

• Retningslinjerne for at afvise at logge certifikater

• Logarkivets MMD

• Kontaktoplysninger, herunder e-mailadresse og telefonnummer på to af operatørens driftskontakter og to af operatørens repræsentationskontakter

• En offentlig tilgængelig URL på en CT-logserver (HTTP)

• En offentlig nøgle til CT-log (DER-kodning af SubjectPublicKeyInfo ASN.1-strukturen)