Apples Certificate Transparency-loggprogram

Läs om riktlinjerna för Apples Certificate Transparency-loggprogram och hur du ansöker om att bli registrerad.

Målet med Apples Certificate Transparency-loggprogram är att etablera en uppsättning med Certificate Transparency-loggar (CT) som är tillförlitliga på Apples plattformar för att kunna förse officiellt tillförlitliga TLS-serverautentiseringscertifikat med Signed Certificate Timestamps (SCT).

Riktlinjer och krav för programmet

Loggarna måste uppfylla alla följande krav för att kunna bli antagen i Apples Certificate Transparency-loggprogram:

• Logg-instanser måste implementera CT så som det anges i RFC6962.

• En logg får inte uppvisa två eller flera motstridiga vyer av Merkle-trädet vid olika tidpunkter och/eller till olika parter.

• För loggar är den maximala fördröjningen för sammanslagning (MMD) 24 timmar.

• En logg måste införliva ett certifikat för vilket det har skapat en SCT inom MMD-tiden.

• En logg måste uppnå Apples krav på 99 procents upptid, vilket mäts av Apple.

• Inget avbrott för loggen får vara längre än MMD:n.

• En logg måste acceptera certifikat som är utfärdade av Apples root CA för efterlevnad, för att övervaka loggens efterlevnad med dessa riktlinjer.

• Loggar måste lita på alla root CA-certifikat som finns i Apples Trust Store. Loggar får lita på fler rotcertifikat som inte finns i Apples Trust Store.

För varje operatör tillåts maximalt tre kvalificerade eller användbara logginstanser. För loggar som saknar begränsningar för utgångsdatum kommer en instans representeras av en URL och en signeringsnyckel för loggen. För loggar med begränsningar för utgångsdatum av certifikat, behandlas en uppsättning av tidsdelade loggar som en enda instans. Här är ett exempel på en enda logginstans som kör fyra tidsdelningar:

Company A 'Loggy 2020' log: accepts certificates that expire between 2020-01-01 00:00:00 UTC - 2021-01-01 00:00:00 UTC Company A 'Loggy 2021' log: accepts certificates that expire between 2021-01-01 00:00:00 UTC - 2022-01-01 00:00:00 UTC Company A 'Loggy 2022' log: accepts certificates that expire between 2022-01-01 00:00:00 UTC - 2023-01-01 00:00:00 UTC Company A 'Loggy 2023' log: accepts certificates that expire between 2023-01-01 00:00:00 UTC - 2024-01-01 00:00:00 UTC

Loggarnas tillstånd på Apples plattformar

Loggar som finns på Apples plattformar kan vara i ett av följande tillstånd:

Väntande

Loggen har begärts bli inkluderad i Apples tillförlitliga logglista men den har inte accepterats ännu. En väntande logg räknas inte som en ”just nu kvalificerad” eller ”tidigare kvalificerad”.

Kvalificerad

Loggen har antagits i Apples program och är satt för att distribueras till Apples plattformar. En kvalificerad logg räknas som ”just nu kvalificerad”.

Användbar

Det går att lita på att SCT:er från loggen uppfyller Apples CT-klientpolicy. En användbar logg räknas som ”just nu kvalificerad”. Loggar övergår från att vara kvalificerade till användbara när de har varit i tillståndet kvalificerade i minst 74 dagar.

Skrivskyddad

Loggen är betrodd på Apples plattformar men är endast läsbar vilket betyder att loggen inte lägre tar emot inskickade certifikat. En skrivskyddad logg räknas som ”just nu kvalificerad”.

Tillbakadragen

Loggen var betrodd på Apples plattformar fram till den specifika tidsstämpeln för tillbakadragande. En tillbakadragen logg räknas som ”tidigare kvalificerad” om den berörda SCT:n utfärdades innan tidsstämpeln för tillbakadragande. En tillbakadragen logg räknas inte som "just nu kvalificerad".

Avvisad

Loggen varken är eller kommer bli betrodd på Apples plattformar. En avvisad logg räknas inte som en "just nu kvalificerad" eller "tidigare kvalificerad".

Registreringsprocess

När en logg har accepterats i Apples Certificate Transparency-loggprogram, följer en 90-dagars övervakningsperiod för att se till att Apples riktlinjer efterlevs. Under den här perioden är loggens tillstånd "väntande".

Apple kan avvisa valfri log baserat på egen bedömning. Om det händer, blir loggens tillstånd "avvisad". Om Apple inte uppräcker några problem under övervakningsperioden kan loggen accepteras och tillståndet blir då "kvalificerad".

Apple övervakar loggen löpande för att se till att riktlinjerna för loggprogrammet efterlevs. Tillståndet för en logg under den här tiden vara "kvalificerad", "användbar", "skrivskyddad" eller "tillbakadragen".

En logg kan dras tillbaka när som helst när Apple så bedömer det skäligt eller på grund av att riktlinjerna för loggprogrammet inte har efterlevts. Loggens tillstånd blir då "tillbakadragen".

Ansök om registrering

Ansök om registrering i Apples CT-loggprogram genom att skicka e-post till certificate-transparency-program@group.apple.com och ange följande:

• Loggens beskrivning

• Riktlinjerna för att acceptera certifikat, inklusive en lista på accepterade rotcertifikat genom Subject DN och SHA256-fingeravtryck

• Riktlinjerna för att avvisa certifikat för loggning

• Loggens MMD

• Kontaktuppgifter inklusive e-postadress och telefonnummer till två verksamhetsansvariga och till två verksamhetsrepresentanter

• En publikt tillgänglig URL (HTTP) till CT-loggservern

• En publik nyckel för CT-loggen (DER-kodning av SubjectPublicKeyInfo ASN.1-struktur)