Certificate Transparency Logs

Définition

Les Certificate Transparency (CT) Logs sont une infrastructure publique de journalisation des certificats TLS/SSL, introduite par Google en 2013 et standardisée par le RFC 6962. Elle impose aux autorités de certification (CA) d'enregistrer dans des journaux publics vérifiables tous les certificats qu'elles émettent, permettant la détection de certificats frauduleux ou non autorisés. Du point de vue de la sécurité offensive, les CT Logs constituent une mine d'informations OSINT : chaque certificat TLS enregistré révèle les domaines et sous-domaines couverts (via le Subject Alternative Name - SAN), l'organisation émettrice, la CA utilisée, la date d'émission et la date d'expiration. Des outils comme crt.sh agrègent ces données et permettent des recherches puissantes sur des organisations ou des domaines. En pratique, une recherche sur crt.sh avec la requête %.domaine.fr retourne tous les certificats émis pour des sous-domaines de domaine.fr enregistrés dans les CT Logs, révélant souvent des actifs non listés publiquement : environnements de développement (dev.domaine.fr), plateformes de staging (staging.domaine.fr), API internes (api-interne.domaine.fr), interfaces d'administration (admin.domaine.fr) et services cloud (service.domaine.fr). Les CT Logs couvrent l'historique complet depuis leur implémentation, permettant de retrouver des sous-domaines qui existaient dans le passé (et dont les services peuvent encore être actifs même si les certificats ont expiré). Cette dimension temporelle est précieuse pour identifier des actifs oubliés dans des acquisitions ou des réorganisations d'infrastructure. Les outils qui exploitent les CT Logs incluent crt.sh (interface web), Amass (intégration dans la découverte de sous-domaines), Sublister, ct-exposer, et l'API Censys qui indexe également les CT Logs avec des capacités de recherche avancées.