Programma per i log Certificate Transparency di Apple

SCOPRI LE POLITICHE DEL PROGRAMMA PER I LOG CERTIFICATE TRANSPARENCY DI APPLE E COME FARE DOMANDA DI INCLUSIONE NEL PROGRAMMA.

L'obiettivo del programma per i log Certificate Transparency di Apple è stabilire una serie di log CT (Certificate Transparency) considerati attendibili sulle piattaforme di Apple per fornire marcature temporali dei certificati con firma (SCT, Signed Certificate Timestamp) per certificati di autenticazione server TLS pubblicamente attendibili.

Politiche e requisiti del programma

RFC 6962

Per essere preso in considerazione per l'inclusione nel programma per log Certificate Transparency di Apple, un log conforme a RFC 6962 deve:

• implementare CT come specificato in RFC 6962;

• non presentare due o più versioni contrastanti dell'albero di Merkle in diversi momenti e/o a entità diverse;

• soddisfare il requisito di tempo di attività del 99% previsto da Apple;

• non specificare un tempo massimo per l'aggiunta di un certificato al log (MMD, Maximum Merge Delay) che superi 1 minuto;

• incorporare un certificato per il quale ha creato una SCT all'interno dell'MMD;

• considerare attendibili tutti i certificati della CA root inclusi nell'archivio dei certificati attendibili di Apple.

  • I log possono considerare attendibili root non incluse nell'archivio dei certificati attendibili di Apple.

Un log conforme a RFC 6962 può:

• rifiutare i certificati scaduti;

• rifiutare i certificati revocati;

• rifiutare i certificati foglia che non contengono l'EKU (Extended Key Usage) id-kp-serverAuth.

  • Gli operatori dei log devono fornire un preavviso scritto di almeno 45 giorni all'indirizzo certificate-transparency-program@group.apple.com per qualsiasi modifica ai tipi di certificati foglia accettati dai propri log.

STATIC-CT-API

Per essere preso in considerazione per l'inclusione nel programma per log Certificate Transparency di Apple, un log conforme ala specifica static-ct-api C2SP deve:

• implementare CT come specificato in The Static Certificate Transparency API 1.0.0.

• non presentare due o più versioni contrastanti dell'albero di Merkle in diversi momenti e/o a entità diverse;

• soddisfare il requisito di tempo di attività del 99% previsto da Apple;

• non specificare un tempo massimo per l'aggiunta di un certificato al log (MMD, Maximum Merge Delay) che superi 1 minuto;

• incorporare un certificato per il quale ha creato una SCT all'interno dell'MMD;

• considerare attendibili tutti i certificati della CA root inclusi nell'archivio dei certificati attendibili di Apple.

  • I log possono considerare attendibili root non incluse nell'archivio dei certificati attendibili di Apple.

Un log conforme alla specifica static-ct-api C2SP può:

• rifiutare i certificati scaduti;

• rifiutare i certificati revocati;

• rifiutare i certificati foglia che non contengono l'EKU (Extended Key Usage) id-kp-serverAuth.

  • Gli operatori dei log devono fornire un preavviso scritto di almeno 45 giorni all'indirizzo certificate-transparency-program@group.apple.com per qualsiasi modifica ai tipi di certificati foglia accettati dai propri log.

Stati dei log sulle piattaforme di Apple

I log inclusi sulle piattaforme di Apple possono avere uno dei seguenti stati:

Pending (In sospeso)

Il log ha richiesto l'inclusione nell'elenco dei log attendibili di Apple, ma non è ancora stato accettato. Un log in sospeso non è considerato “attualmente qualificato” o “precedentemente qualificato”.

Qualified (Qualificato)

Il log è stato accettato nel programma di Apple e sarà distribuito sulle piattaforme di Apple. Un log qualificato è considerato “attualmente qualificato”.

Usable (Utilizzabile)

Le STC del log sono considerate conformi alla politica CT client di Apple. Un log utilizzabile è considerato “attualmente qualificato”. I log passano da qualificati a utilizzabili dopo un minimo di 74 giorni con lo stato qualificato.

Readonly (Sola lettura)

Il log è considerato attendibile sulle piattaforme di Apple ma è in sola lettura, ovvero il log ha smesso di accettare richieste di certificati. Un log di sola lettura è considerato “attualmente qualificato”.

Retired (Ritirato)

Il log era considerato attendibile sulle piattaforme di Apple fino alla marcatura temporale del ritiro. Un log ritirato è considerato “precedentemente qualificato” se l'SCT in questione è stata emessa prima della marcatura temporale del ritiro. Un log ritirato non è considerato “attualmente qualificato”.

Rejected (Rifiutato)

Il log non è e non sarà considerato attendibile sulle piattaforme di Apple. Un log rifiutato non è considerato “attualmente qualificato” o “precedentemente qualificato”.

Processo di inclusione

Dopo che un log è stato accettato nel programma per i log Certificate Transparency di Apple, per un periodo di giorni ne viene monitorata la conformità alla politica di Apple. Nel corso di questo periodo, lo stato del log è “in sospeso”.

Apple può rifiutare qualsiasi log a propria discrezione. In tal caso, il log passa allo stato “rifiutato”. Se Apple non riscontra problemi durante il periodo di monitoraggio, il log può essere accettato; a quel punto, il log passa allo stato “qualificato”.

Apple monitora il log su base continua per verificarne la conformità alle politiche del programma. Lo stato di un log nel corso di questo periodo può essere “qualificato”, “utilizzabile”, “sola lettura” o “ritirato”.

Un log può essere ritirato in qualsiasi momento, a discrezione di Apple o a causa della mancata conformità alle politiche del programma. In tal caso, il log passa allo stato “ritirato”.

Fare richiesta di inclusione nel programma

Per chiedere di entrare a far parte del programma per i log CT di Apple, scrivi un'email all'indirizzo certificate-transparency-program@group.apple.com, includendo le seguenti informazioni:

• La descrizione del registro, tra cui:

  • la politica per l'accettazione dei certificati, se disponibile;

  • la politica per il rifiuto dei certificati per la registrazione, se disponibile;

  • un elenco di certificati root accettati per DN oggetto e impronta digitale SHA256; e

  • la specifica (RFC 6962 o static-ct-api) a cui il log è conforme.

• L'URL server del log CT pubblicamente accessibile (HTTP).

• La chiave pubblica del log CT (codifica DER della struttura ASN.1 SubjectPublicKeyInfo).

• L'MMD del log.

• L'intervallo di scadenza del certificato partizionato in senso temporale del log include:

  • il valore end_exclusive in data e ora ISO 8601 in formato UTC; e

  • il valore start_inclusive in data e ora ISO 8601 in formato UTC.

• Informazioni di contatto, incluso l'indirizzo email di due contatti operativi e di due contatti rappresentativi dell'operatore.