Certificate Transparency（証明書透明性） とは？

普通は認証局が証明書を発行したら、それはブラウザが信頼するだけだよ。でも2011年にDigiNotarというCAがハッキングされ、Googleドメインの偽証明書が発行されてしまった事件があったんだ。それを教訓に生まれたのがCTだよ。

CAは証明書を発行するとき、必ずCTログサーバーに記録を送ることが義務付けられているんだ。その記録が改ざんできないログとして全世界に公開されるから、誰でも「このドメインにどんな証明書が発行されたか」を確認できるよ。

毎回確認するわけではなくて、証明書の中に「このログに登録されました」という証明（SCT：署名付き証明書タイムスタンプ）が含まれているんだ。ブラウザはそのSCTを見てCTに準拠しているかを確認するよ。

crt.shというサイトでドメイン名を検索すれば、発行済みの全証明書をリスト表示できるよ。企業のセキュリティチームは定期的にモニタリングして、フィッシング用の偽ドメイン証明書を早期発見するために活用しているんだ。

ChromeやSafariはCT非対応の証明書を信頼しないよ。GoogleはChrome 68（2018年）からすべての証明書にCT対応を必須にしたんだ。今では商用CAが発行する証明書は自動的にCTログに登録されているから、ユーザーが意識することはほぼないけどね。