Programme des journaux de transparence des certificats d’Apple

DÉCOUVREZ LES POLITIQUES DU PROGRAMME DES JOURNAUX DE TRANSPARENCE DES CERTIFICATS D’APPLE ET APPRENEZ COMMENT FAIRE UNE DEMANDE D’INCLUSION.

L’objectif du programme des journaux de transparence des certificats d’Apple est de constituer un ensemble de journaux de transparence des certificats qui sont approuvés sur les plateformes d’Apple afin de fournir des horodatages de certificats signés (SCT) pour les certificats d’authentification de serveur du protocole de sécurité de la couche (TLS) évalués comme fiables.

Politiques et exigences du programme

RFC 6962

Pour être inclus dans le programme des journaux de transparence des certificats d’Apple, un journal conforme à la norme RFC 6962 :

• doit mettre en œuvre la transparence des certificats comme l’indique la norme RFC 6962;

• ne doit pas présenter deux vues (ou plus) contradictoires de l’arbre de Merkle à des moments différents et/ou à des parties différentes;

• doit respecter l’exigence d’une durée de fonctionnement de 99 % d’Apple, telle que mesurée par Apple;

• ne doit pas indiquer un délai de fusion maximal (MMD) supérieur à 24 heures;

• doit incorporer un certificat pour lequel il a créé un SCT dans le MMD;

• doit approuver tous les certificats de l’autorité de certification racine inclus dans le magasin de confiance d’Apple.

  • Des racines non incluses dans le magasin de confiance d’Apple peuvent être approuvées par les journaux.

Un journal conforme à la norme RFC 6962 peut :

• rejeter les certificats expirés;

• rejeter les certificats révoqués;

• rejeter les certificats terminaux qui ne contiennent pas l’utilisation de clé étendue (EKU) id-kp-serverAuth.

  • Les opérateurs de journaux doivent fournir un préavis écrit d’au moins 45 jours à certificate-transparency-program@group.apple.com en cas de modifications du ou des types de certificats terminaux que leurs journaux acceptent.

STATIC-CT-API

Pour être inclus dans le programme des journaux de transparence des certificats d’Apple, un journal conforme à la spécification static-ct-api C2SP :

• doit mettre en œuvre la transparence des certificats comme l’indique l’API de transparence du certificat statique, v1.0.0;

• ne doit pas présenter deux vues (ou plus) contradictoires de l’arbre de Merkle à des moments différents et/ou à des parties différentes;

• doit respecter l’exigence d’une durée de fonctionnement de 99 % d’Apple, telle que mesurée par Apple;

• ne doit pas indiquer un délai de fusion maximal (MMD) supérieur à 1 minute;

• doit incorporer un certificat pour lequel il a créé un SCT dans le MMD;

• doit approuver tous les certificats de l’autorité de certification racine inclus dans le magasin de confiance d’Apple.

  • Des racines non incluses dans le magasin de confiance d’Apple peuvent être approuvées par les journaux.

Un journal conforme à la spécification static-ct-api C2SP peut :

• rejeter les certificats expirés;

• rejeter les certificats révoqués;

• rejeter les certificats terminaux qui ne contiennent pas l’utilisation de clé étendue (EKU) id-kp-serverAuth.

  • Les opérateurs de journaux doivent fournir un préavis écrit d’au moins 45 jours à certificate-transparency-program@group.apple.com en cas de modifications du ou des types de certificats terminaux que leurs journaux acceptent.

États des journaux sur les plateformes d’Apple

Les journaux inclus sur les plateformes d’Apple peuvent afficher l’un des états suivants :

Pending (En attente)

Le journal a demandé à être inclus dans la liste des journaux approuvés d’Apple, mais n’a pas encore été accepté. Un journal en attente n’est pas considéré comme « actuellement admissible » ou « admissible une fois ».

Qualified (Admissible)

Le journal a été accepté dans le programme Apple et doit être distribué sur les plateformes d’Apple. Un journal admissible est considéré comme « actuellement admissible ».

Usable (Utilisable)

Les SCT du journal peuvent être utilisés pour respecter la politique CT client d’Apple. Un journal utilisable est considéré comme « actuellement admissible ». Les journaux passent de l’état admissible à l’état utilisable après un minimum de 74 jours à l’état admissible.

Readonly (Lecture seule)

Le journal est approuvé sur les plateformes d’Apple, mais il est en lecture seule — c’est-à-dire que le journal a cessé d’accepter les soumissions de certificats. Un journal en lecture seule est considéré comme « actuellement admissible ».

Retired (Retiré)

Le journal était approuvé sur les plateformes d’Apple jusqu’à l’horodatage de retrait spécifié. Un journal retiré est considéré comme « admissible une fois » si le SCT en question a été émis avant l’horodatage de retrait. Un journal retiré n’est pas considéré comme « actuellement admissible ».

Rejected (Rejeté)

Le journal n’est pas et ne sera pas approuvé sur les plateformes d’Apple. Un journal rejeté n’est pas considéré comme « actuellement admissible » ou « admissible une fois ».

Procédure d’inclusion

Une fois qu’un journal est accepté dans le programme des journaux de transparence des certificats d’Apple, une période de surveillance vérifie la conformité du journal avec la politique d’Apple. Pendant ce temps, l’état du journal est « en attente ».

Apple peut rejeter un journal à sa seule discrétion. Dans ce cas, le journal passe à l’état « rejeté ». Si Apple ne décèle aucun problème pendant la période de surveillance, le journal peut être accepté, auquel cas le journal passe à l’état « admissible ».

Apple surveille régulièrement le journal pour s’assurer qu’il est conforme aux politiques du programme des journaux. Pendant cette période, l’état d’un journal peut être « admissible », « utilisable », « lecture seule » ou « retiré ».

Un journal peut être retiré à tout moment, à la seule discrétion d’Apple ou en raison du non-respect des politiques du programme des journaux. Le journal passe alors à l’état « retiré ».

Demande d’inclusion

Pour demander l’inclusion dans le programme des journaux CT d’Apple, envoyez un courriel à l’adresse certificate-transparency-program@group.apple.com et incluez les éléments suivants :

• La description du journal, y compris :

  • la politique d’acceptation des certificats, le cas échéant;

  • la politique de rejet des certificats pour l’historique, le cas échéant;

  • la liste des certificats racine acceptés par DN de sujet et empreinte numérique SHA256; et

  • la spécification (RFC 6962 ou static-ct-api) à laquelle le journal est conforme.

• L’URL du serveur de journaux de CT (HTTP) accessible au public.

• La clé publique du journal (codage DER de la structure SubjectPublicKeyInfo ASN.1).

• Le MMD du journal.

• La plage d’expiration du certificat temporairement fragmenté du journal, y compris :

  • la valeur end_exclusive dans la norme ISO 8601 Date et heure au format UTC; et

  • la valeur start_inclusive dans la norme ISO 8601 Date et heure au format UTC.

• Les coordonnées, y compris les adresses courriel de deux personnes-ressources de l’équipe des opérations de l’opérateur et de deux personnes-ressources représentantes de l’opérateur.