Apples Certificate Transparency-loggprogram

Finn ut mer om Apples retningslinjer for Certificate Transparency-loggprogrammet og hvordan du søker om inkludering.

Formålet med Apples Certificate Transparency-loggprogram er å opprette et sett med godkjente CT (Certificate Transparency)-logger på Apples plattformer som kan gi SCT-er (Signed Certificate Timestamps) til allment godkjente TLS-sertifikater for tjenergodkjenning.

Retningslinjer og krav for programmet

Loggene må møte følgende krav for å inkluderes i Apples Certificate Transparency-loggprogram:

• Loggtilfellene må benytte CT, som beskrevet i RFC6962.

• En logg kan ikke vise to eller flere motstridende versjoner av et Merkle-tre på ulike tidspunkter og/eller til ulike parter.

• MMD (Maximum Merge Delay) for loggene er 24 timer.

• Loggen må inkludere et sertifikat om at den har opprettet et SCT innenfor MMD.

• Loggtilfellet må møte Apples krav til oppetid på 99 %, som målt av Apple.

• Nedetiden for loggen kan ikke være lengre enn MMD.

• Loggen må godkjenne sertifikatene som utstedes av Apples rot-CA for å overvåke loggens samsvar med disse retningslinjene.

• Loggene må godkjenne alle CA-rotsertifikater som er inkludert i Apples Trust Store. Loggene kan godkjenne andre rotsertifikater som kanskje ikke er inkludert i Apples Trust Store.

Maks tre kvalifiserte eller brukbare loggtilfeller er tillatt per operatør. For logger som ikke har begrensninger for utløp av sertifikater, representeres ett tilfelle som en nettadresse og en signeringsnøkkel. For logger som har begrensninger for utløp av sertifikater, teller ett sett med tidsinndelte logger som ett tilfelle. Her er et eksempel på et enkeltloggstilfelle som kjører med fire tidsinndelinger:

Firma A «Loggy 2020»-logg: godtar sertifikater som utløper mellom 01.01.2020 kl. 00:00:00 UTC og 01.01.2021 kl. 00:00:00 UTC Firma A «Loggy 2021»-logg: godtar sertifikater som utløper mellom 01.01.2021 kl. 00:00:00 UTC og 01.01.2022 kl. 00:00:00 UTC Firma A «Loggy 2022»-logg: godtar sertifikater som utløper mellom 01.01.2022 kl. 00:00:00 UTC og 01.01.2023 kl. 00:00:00 UTC Firma A «Loggy 2023»-logg: godtar sertifikater som utløper mellom 01.01.2023 kl. 00:00:00 UTC og 01.01.2024 kl. 00:00:00 UTC

Loggstatus på Apples plattformer

Logger som er inkludert på Apples plattformer, kan ha én av følgende tilstander:

Venter

Loggen har bedt om inkludering i Apples godkjente loggliste, men har ikke blitt godkjent ennå. En ventende logg telles ikke som «kvalifisert for øyeblikket» eller «kvalifisert én gang».

Kvalifisert

Loggen er godkjent i Apples program og klar for distribusjon til Apples plattformer. En kvalifisert logg telles som «kvalifisert for øyeblikket».

Brukbar

SCT-ene fra loggen overholder Apples CT-retningslinjer for klienter. En brukbar logg telles som «kvalifisert for øyeblikket». Logger overføres fra kvalifisert til brukbar etter minst 74 dager i kvalifisert tilstand.

Skrivebeskyttet

Loggen er godkjent på Apples plattformer, men har kun lesetilgang, som vil si at loggen har sluttet å godta sertifikatinnsendinger. En skrivebeskyttet logg telles som «kvalifisert for øyeblikket».

Tilbaketrukket

Loggen var godkjent på Apples plattformer frem til det bestemte tidspunktet den ble tilbaketrukket. En tilbaketrukket logg telles som «kvalifisert én gang» hvis den aktuelle SCT-en ble utstedt før tidspunktet for tilbaketrekking. En tilbaketrukket logg telles ikke som «kvalifisert for øyeblikket».

Avvist

Loggen er ikke og blir ikke godkjent av Apples plattformer. En avvist logg telles ikke som «kvalifisert for øyeblikket» eller «kvalifisert én gang».

Inkluderingsprosess

Når en logg godkjennes i Apples Certificate Transparency-loggprogram, overvåkes loggen i 90 dager for å se om den samsvarer med Apples retningslinjer. Under overvåkingen er loggstatusen «venter».

Apple kan avvise alle logger etter eget skjønn. Hvis dette skjer, endres loggstatusen til «avvist». Hvis Apple ikke finner noen problemer under overvåkingsperioden, kan loggen godkjennes, og loggstatusen endres til «kvalifisert».

Apple overvåker loggen løpende for å se om den overholder retningslinjene for loggprogrammet. Loggstatusen kan da være «kvalifisert», «brukbar», «skrivebeskyttet» eller «tilbaketrukket».

En logg kan når som helst tilbaketrekkes etter Apples eget skjønn eller som et resultat av at den ikke overholder retningslinjene for loggprogrammet. Loggtilstanden endres da til «tilbaketrukket».

Søk om inkludering

Hvis du vil søke om å bli inkludert i Apples CT-loggprogram, sender du en e-post til certificate-transparency-program@group.apple.com og inkluderer følgende:

• Loggens beskrivelse

• Retningslinjer for godkjenning av sertifikater, inkludert en liste over godkjente rotsertifikater etter subjekt DN og SHA256-fingeravtrykk

• Retningslinjer for avvisning av loggsertifikater

• Loggens MMD

• Kontaktinformasjon, inkludert e-postadresser og telefonnumre for to operatørkontakter og to operatørrepresentanter

• En allment tilgjengelig nettadresse for en CT-loggtjener (HTTP)

• En allment tilgjengelig nøkkel for en CT-logg (DER-koding av SubjectPublicKeyInfo ASN.1-strukturen)