Πρόγραμμα αρχείων καταγραφής Certificate Transparency της Apple

ΜΑΘΕΤΕ ΓΙΑ ΤΙΣ ΠΟΛΙΤΙΚΕΣ ΤΟΥ ΠΡΟΓΡΑΜΜΑΤΟΣ ΑΡΧΕΙΩΝ ΚΑΤΑΓΡΑΦΗΣ CERTIFICATE TRANSPARENCY ΤΗΣ APPLE ΚΑΙ ΠΩΣ ΜΠΟΡΕΙΤΕ ΝΑ ΚΑΝΕΤΕ ΑΙΤΗΣΗ ΓΙΑ ΣΥΜΠΕΡΙΛΗΨΗ.

Στόχος του προγράμματος αρχείων καταγραφής Certificate Transparency της Apple είναι η δημιουργία ενός συνόλου αρχείων καταγραφής Certificate Transparency (CT) τα οποία θα θεωρούνται αξιόπιστα στις πλατφόρμες της Apple για την παροχή Χρονικών σφραγίδων υπογεγραμμένου πιστοποιητικού (Signed Certificate Timestamps - SCT) αναφορικά με δημοσίως αξιόπιστα πιστοποιητικά ελέγχου ταυτότητας διακομιστών TLS.

Πολιτικές και απαιτήσεις προγράμματος

RFC 6962

Για να ληφθεί υπόψη για συμπερίληψη στο πρόγραμμα αρχείων καταγραφής Certificate Transparency της Apple, ένα αρχείο καταγραφής που συμμορφώνεται με το RFC 6962 πρέπει:

• Να υλοποιεί το πρωτόκολλο CT όπως καθορίζεται από το RFC 6962.

• Να μην παρουσιάζει δύο ή περισσότερες συγκρουόμενες προβολές του Merkle Tree σε διαφορετικές χρονικές στιγμές ή/και σε διαφορετικά μέρη.

• Να πληροί την απαίτηση χρόνου λειτουργίας 99% της Apple, σύμφωνα με τις μετρήσεις της Apple.

• Να μην καθορίζει μέγιστη περίοδο καθυστέρησης συγχώνευσης (Maximum Merge Delay - MMD) που υπερβαίνει τις 24 ώρες.

• Να ενσωματώνει ένα πιστοποιητικό που δημιούργησε μια SCT εντός της περιόδου MMD.

• Να θεωρεί αξιόπιστα όλα τα πιστοποιητικά ρίζας CA που περιλαμβάνονται στο στον χώρο πιστοποιητικών της Apple.

  • Τα αρχεία καταγραφής ενδέχεται να θεωρούν αξιόπιστα πιστοποιητικά ρίζας που δεν περιλαμβάνονται στον χώρο πιστοποιητικών της Apple.

Ένα αρχείο καταγραφής που συμμορφώνεται με το RFC 6962 μπορεί:

• Να απορρίψει πιστοποιητικά που έχουν λήξει.

• Να απορρίψει τα πιστοποιητικά που έχουν ανακληθεί.

• Να απορρίψει πιστοποιητικά φύλλου τα οποία δεν περιέχουν το id-kp-serverAuth Extended Key Usage (EKU).

  • Οι χειριστές αρχείων καταγραφής πρέπει να παρέχουν γραπτή ειδοποίηση τουλάχιστον 45 ημέρες νωρίτερα στη διεύθυνση certificate-transparency-program@group.apple.com για οποιεσδήποτε αλλαγές στους τύπους των πιστοποιητικών φύλλου που αποδέχονται τα αρχεία καταγραφής τους.

STATIC-CT-API

Για να ληφθεί υπόψη για συμπερίληψη στο πρόγραμμα αρχείων καταγραφής Certificate Transparency της Apple, ένα αρχείο καταγραφής που συμμορφώνεται με την προδιαγραφή C2SP static-ct-api πρέπει:

• Να υλοποιεί το πρωτόκολλο CT όπως καθορίζεται από το The Static Certificate Transparency API v1.0.0.

• Να μην παρουσιάζει δύο ή περισσότερες συγκρουόμενες προβολές του Merkle Tree σε διαφορετικές χρονικές στιγμές ή/και σε διαφορετικά μέρη.

• Να πληροί την απαίτηση χρόνου λειτουργίας 99% της Apple, σύμφωνα με τις μετρήσεις της Apple.

• Να μην καθορίζει μέγιστη περίοδο καθυστέρησης συγχώνευσης (Maximum Merge Delay - MMD) που υπερβαίνει το 1 λεπτό.

• Να ενσωματώνει ένα πιστοποιητικό που δημιούργησε μια SCT εντός της περιόδου MMD.

• Να θεωρεί αξιόπιστα όλα τα πιστοποιητικά ρίζας CA που περιλαμβάνονται στο στον χώρο πιστοποιητικών της Apple.

  • Τα αρχεία καταγραφής ενδέχεται να θεωρούν αξιόπιστα πιστοποιητικά ρίζας που δεν περιλαμβάνονται στον χώρο πιστοποιητικών της Apple.

Ένα αρχείο καταγραφής που συμμορφώνεται με την προδιαγραφή C2SP static-ct-api μπορεί:

• Να απορρίψει πιστοποιητικά που έχουν λήξει.

• Να απορρίψει τα πιστοποιητικά που έχουν ανακληθεί.

• Να απορρίψει πιστοποιητικά φύλλου τα οποία δεν περιέχουν το id-kp-serverAuth Extended Key Usage (EKU).

  • Οι χειριστές αρχείων καταγραφής πρέπει να παρέχουν γραπτή ειδοποίηση τουλάχιστον 45 ημέρες νωρίτερα στη διεύθυνση certificate-transparency-program@group.apple.com για οποιεσδήποτε αλλαγές στους τύπους των πιστοποιητικών φύλλου που αποδέχονται τα αρχεία καταγραφής τους.

Καταστάσεις αρχείων καταγραφής στις πλατφόρμες της Apple

Τα αρχεία καταγραφής που περιλαμβάνονται στις πλατφόρμες της Apple μπορούν να βρίσκονται σε μία από τις παρακάτω καταστάσεις:

Pending (Σε εκκρεμότητα)

Έχει ζητηθεί η συμπερίληψη του αρχείου καταγραφής στη λίστα αξιόπιστων αρχείων καταγραφής της Apple, όμως το αρχείο δεν έχει γίνει δεκτό ακόμη. Ένα αρχείο καταγραφής σε εκκρεμότητα δεν υπολογίζεται ως «currently qualified» (κατάλληλο αυτήν τη στιγμή) ούτε ως «once qualified» (κατάλληλο κάποτε).

Qualified (Κατάλληλο)

Το αρχείο καταγραφής έχει γίνει δεκτό στο πρόγραμμα της Apple και έχει οριστεί για διανομή στις πλατφόρμες της Apple. Ένα κατάλληλο αρχείο καταγραφής υπολογίζεται ως «currently qualified» (κατάλληλο αυτήν τη στιγμή).

Usable (Χρησιμοποιήσιμο)

Οι σφραγίδες SCT από το αρχείο καταγραφής μπορούν να χρησιμοποιηθούν για τη συμμόρφωση με την πολιτική διαφάνειας πιστοποιητικών (CT) προγραμμάτων-πελάτη της Apple. Ένα χρησιμοποιήσιμο αρχείο καταγραφής υπολογίζεται ως «currently qualified» (κατάλληλο αυτήν τη στιγμή). Τα αρχεία καταγραφής μεταβαίνουν από την κατάσταση «qualified» (κατάλληλο) στην κατάσταση «usable» (χρησιμοποιήσιμο) μετά από τουλάχιστον 74 ημέρες στην κατάσταση «qualified» (κατάλληλο).

Readonly (Μόνο για ανάγνωση)

Το αρχείο καταγραφής θεωρείται αξιόπιστο στις πλατφόρμες της Apple, αλλά είναι μόνο για ανάγνωση, δηλαδή το αρχείο καταγραφής έχει σταματήσει να δέχεται υποβολές πιστοποιητικών. Ένα αρχείο καταγραφής μόνο για ανάγνωση υπολογίζεται ως «currently qualified» (κατάλληλο αυτήν τη στιγμή).

Retired (Αποσύρθηκε)

Το αρχείο καταγραφής θεωρούνταν αξιόπιστο στις πλατφόρμες της Apple μέχρι τη συγκεκριμένη χρονική σφραγίδα απόσυρσης. Ένα αρχείο καταγραφής που αποσύρθηκε υπολογίζεται ως «once qualified» (κατάλληλο κάποτε) αν η συγκεκριμένη σφραγίδα SCT είχε εκδοθεί πριν από τη χρονική σφραγίδα απόσυρσης. Ένα αρχείο καταγραφής που αποσύρθηκε δεν υπολογίζεται ως «currently qualified» (κατάλληλο αυτήν τη στιγμή).

Rejected (Απορρίφθηκε)

Το αρχείο καταγραφής δεν θεωρείται και δεν θα θεωρείται αξιόπιστο στις πλατφόρμες της Apple. Ένα αρχείο καταγραφής που απορρίφθηκε δεν υπολογίζεται ως «currently qualified» (κατάλληλο αυτήν τη στιγμή) ή «once qualified» (κατάλληλο κάποτε).

Διαδικασία συμπερίληψης

Αφού γίνει δεκτό ένα αρχείο καταγραφής στο πρόγραμμα αρχείων καταγραφής Certificate Transparency της Apple, αρχίζει μια περίοδος παρακολούθησης κατά την οποία ελέγχεται το αρχείο καταγραφής για να διαπιστωθεί αν συμμορφώνεται με την πολιτική της Apple. Στη διάρκεια αυτής της περιόδου, η κατάσταση του αρχείου καταγραφής είναι «pending» (σε εκκρεμότητα).

Η Apple μπορεί να απορρίψει οποιοδήποτε αρχείο καταγραφής κατά τη διακριτική ευχέρειά της. Αν συμβεί αυτό, η κατάσταση του αρχείου καταγραφής θα αλλάξει σε «rejected» (απορρίφθηκε). Αν η Apple δεν διαπιστώσει ζητήματα στη διάρκεια της περιόδου παρακολούθησης, το αρχείο καταγραφής μπορεί να γίνει δεκτό, οπότε η κατάστασή του θα αλλάξει σε «qualified» (κατάλληλο).

Η Apple παρακολουθεί το αρχείο καταγραφής σε συνεχή βάση για να διαπιστώσει αν συμμορφώνεται με τις πολιτικές του προγράμματος αρχείων καταγραφής. Η κατάσταση ενός αρχείου καταγραφής στη διάρκεια αυτής της περιόδου μπορεί να είναι «qualified» (κατάλληλο), «usable» (χρησιμοποιήσιμο), «readonly» (μόνο για ανάγνωση) ή «retired» (αποσύρθηκε).

Ένα αρχείο καταγραφής μπορεί να αποσυρθεί οποιαδήποτε στιγμή, κατά τη διακριτική ευχέρεια της Apple ή λόγω της μη συμμόρφωσής του με τις πολιτικές του προγράμματος αρχείων καταγραφής. Η κατάσταση του αρχείου καταγραφής θα αλλάξει τότε σε «retired» (αποσύρθηκε).

Αίτηση για συμπερίληψη

Για να κάνετε αίτηση για συμπερίληψη στο πρόγραμμα αρχείων καταγραφής CT της Apple, στείλτε email στη διεύθυνση certificate-transparency-program@group.apple.com με τα παρακάτω στοιχεία:

• Την περιγραφή του αρχείου καταγραφής, συμπεριλαμβανομένων των εξής:

  • την πολιτική για την αποδοχή πιστοποιητικών, αν υπάρχει,

  • την πολιτική για την απόρριψη πιστοποιητικών για καταγραφή, αν υπάρχει,

  • μια λίστα με τα αποδεκτά πιστοποιητικά ρίζας κατά DN θέματος και αποτύπωμα SHA256 και

  • την προδιαγραφή (RFC 6962 ή static-ct-api) με την οποία συμμορφώνεται το αρχείο καταγραφής.

• Τη δημόσια προσβάσιμη διεύθυνση URL διακομιστή αρχείων καταγραφής CT (HTTP).

• Το δημόσιο κλειδί του αρχείου καταγραφής (κωδικοποίηση DER της δομής ASN.1 του SubjectPublicKeyInfo).

• Την περίοδο MMD του αρχείου καταγραφής.

• Το χρονικά κατακερματισμένο εύρος λήξης πιστοποιητικού του αρχείου καταγραφής, συμπεριλαμβανομένων των εξής:

  • της τιμής end_exclusive σε Ημερομηνία και ώρα ISO 8601, σε μορφή UTC και

  • της τιμής start_inclusive σε Ημερομηνία και ώρα ISO 8601, σε μορφή UTC.

• Στοιχεία επικοινωνίας, συμπεριλαμβανομένων των διευθύνσεων email για δύο υπεύθυνους δραστηριοτήτων του χειριστή και δύο αντιπροσώπους του χειριστή.