Programa de registo de Transparência do certificado da Apple

Saiba mais sobre as políticas do programa de registo de Transparência do certificado da Apple e sobre como se pode candidatar ao mesmo.

O objetivo do programa de registo de Transparência do certificado da Apple é estabelecer um conjunto de registos de Transparência do certificado (CT) que sejam considerados fidedignos nas plataformas da Apple, para fornecer SCT (Signed Certificate Timestamps) a certificados de autenticação de servidor TLS publicamente considerados fidedignos.

Políticas e requisitos do programa

Para serem candidaturas válidas para o programa de registo de Transparência do certificado da Apple, os registos têm de cumprir todos os seguintes requisitos:

• As instâncias dos registos têm de implementar CT, conforme especificado pelo texto RFC6962.

• Um registo não pode apresentar duas ou mais vistas da árvore de Merkle em conflito, em momentos diferentes e/ou a entidades diferentes.

• O MMD (Maximum Merge Delay) dos registos é 24 horas.

• Um registo tem de incorporar um certificado para o qual criou um SCT no MMD.

• Uma instância de registo tem de cumprir o requisito de tempo de utilização de 99% da Apple, conforme medido por esta.

• Nenhuma interrupção do registo pode durar mais que o MMD.

• Um registo tem de aceitar certificados emitidos pela autoridade de certificação raiz de conformidade da Apple, para que seja monitorizada a conformidade do mesmo com estas políticas.

• Os registos têm de confiar em todos os certificados de autoridade de certificação raiz incluídos nos certificados da Apple. Os registos podem confiar em raízes adicionais que não estejam incluídas nos certificados da Apple.

É permitido um máximo de três instâncias de registos qualificadas ou utilizáveis por operador. Para registos sem restrições de expiração de certificado, uma instância é representada como um URL e uma chave de assinatura do registo. Para registos com restrições de expiração de certificado, um conjunto de registos divididos por tempo conta como uma única instância. Eis um exemplo de uma instância de um único registo que executa quatro fragmentos de tempo:

Company A 'Loggy 2020' log: accepts certificates that expire between 2020-01-01 00:00:00 UTC - 2021-01-01 00:00:00 UTC Company A 'Loggy 2021' log: accepts certificates that expire between 2021-01-01 00:00:00 UTC - 2022-01-01 00:00:00 UTC Company A 'Loggy 2022' log: accepts certificates that expire between 2022-01-01 00:00:00 UTC - 2023-01-01 00:00:00 UTC Company A 'Loggy 2023' log: accepts certificates that expire between 2023-01-01 00:00:00 UTC - 2024-01-01 00:00:00 UTC

Estados dos registos nas plataformas da Apple

Os registos incluídos nas plataformas da Apple podem estar num dos seguintes estados:

Pendente

O registo solicitou a inclusão na lista de registos de confiança da Apple, mas ainda não foi aceite. Um registo pendente não conta como "qualificado atualmente" ou "qualificado anteriormente".

Qualificado

O registo foi aceite no programa da Apple e preparado para distribuição nas plataformas da Apple. Um registo qualificado conta como "qualificado atualmente".

Utilizável

Os SCT do registo cumprem a política de CT de cliente da Apple. Um registo utilizável conta como "qualificado atualmente". Os registos passam de qualificados a utilizáveis após um mínimo de 74 dias no estado qualificado.

Só de leitura

O registo é considerado fidedigno nas plataformas da Apple, mas é só de leitura, ou seja, parou de aceitar envios de certificados. Um registo só de leitura conta como "qualificado atualmente".

Removido

O registo foi considerado fidedigno nas plataformas da Apple até à data específica de remoção. Um registo removido conta como "qualificado anteriormente" se o SCT em questão for emitido antes da data de remoção. Um registo removido não conta como "qualificado atualmente".

Rejeitado

O registo não é nem será considerado fidedigno nas plataformas da Apple. Um registo rejeitado não conta como "qualificado atualmente" ou "qualificado anteriormente".

Processo de inclusão

Após a aceitação de um registo no programa de registos de Transparência do certificado da Apple, há um período de monitorização de 90 dias para verificar a conformidade do mesmo com a política da Apple. Durante este período, o estado do registo é "pendente".

Qualquer registo pode ser rejeitado por responsabilidade da Apple. Se esta situação ocorrer, o estado do registo será "rejeitado". Se a Apple não detetar problemas durante o período de monitorização, o registo poderá ser aceite e o respetivo estado será "qualificado".

A Apple monitoriza o registo de forma contínua para verificar a conformidade com as políticas do programa de registos. Durante este período, o estado de um registo pode ser "qualificado", "utilizável", "só de leitura" ou "removido".

Um registo pode ser removido em qualquer momento, por responsabilidade da Apple ou como consequência da ausência de conformidade com as políticas do programa de registos. O estado do registo será "removido".

Candidatura

Para se candidatar ao programa de registos de CT da Apple, envie um e-mail para certificate-transparency-program@group.apple.com e inclua as seguintes informações:

• A descrição do registo

• A política de aceitação de certificados, incluindo uma lista de certificados raiz aceites por Nome único do requerente e impressão digital SHA256

• A política de rejeição de certificados para registos

• O MMD do registo

• Informações de contacto, incluindo os endereços de e-mail e números de telefone de dois contactos de operações do operador e dois contactos representativos do operador

• Um URL de servidor de registo de CT publicamente acessível (HTTP)

• Uma chave pública de registo de CT (codificação DER da estrutura ASN.1 SubjectPublicKeyInfo)