Chrome 团队宣布“[他们] 将推进 [他们] 的计划，要求从 2018 年 4 月开始，对所有新发行的、公开信任的证书要求证书透明度。”
现在是 2018 年 7 月。现在需要证书透明度吗？发生了什么变化？
我试图找到答案的两个主要问题：
- Chrome 会拒绝来自公司（或“内部”）CA 的证书吗？
- 现在浏览器观察到的每个证书都会触发对 Google 的 CT 服务器的查询吗？
证书透明度将如何执行？
信息安全
证书
证书颁发机构
铬合金
证书透明度
2021-08-18 02:57:53
1个回答
Chrome 会拒绝来自公司（或“内部”）CA 的证书吗？
这已经在您引用的确切句子中得到了回答：“......要求所有新颁发的公开信任证书的证书透明度”。由于内部 CA 不受公众信任，因此这些证书不需要透明性。
现在浏览器观察到的每个证书都会触发对 Google 的 CT 服务器的查询吗？
Chrome 中的证书透明度对验证过程的描述如下：
Chrome可能会检查 SCT 是否已被发布它的 CT 日志认可，即相应的证书确实发布在该 CT 日志中。... Chrome 通过发送一个特制的 DNS 查询来实现这一点，该查询请求来自日志的包含证明。使用 DNS 允许用户从 CT 日志的角度保持匿名，并启用包含证明的缓存。
据我了解，它将始终检查所需的 CT 信息是否在证书中。但我不认为这意味着它会始终检查这些信息是否正确并反映在 CT 日志中。我的猜测是，它不会总是但经常检查，以便检测到带有假 CT 信息的证书。