Certificate-Transparency-Monitoring gegen Subdomain-Takeover.
Relvato überwacht beim Certificate-Transparency-Monitoring die öffentlichen Zertifikatslogs auf Zertifikate, die im Namen deiner Domain von einer Stelle ausgestellt wurden, die du nicht nutzt, sucht Subdomains, die auf nicht mehr vorhandene Dienste zeigen, und prüft, ob deine CAA-Einträge die nächste Zertifikatsverlängerung erlauben.
- ✓Kein neues Zertifikat von einer unbekannten Stelle
- ✓Keine Subdomain zeigt auf eine nicht mehr vorhandene Ressource
- ✓CAA erlaubt deiner Zertifizierungsstelle die Verlängerung
Jedes ausgestellte Zertifikat wird in den Certificate-Transparency-Logs veröffentlicht — ein Zertifikat, das du nicht beantragt hast, ist daher oft das erste Zeichen, dass jemand eine deiner Subdomains oder dein DNS kontrolliert. Der übliche Weg hinein ist ein vergessener Eintrag: shop-alt, der auf eine gelöschte Heroku-App oder einen gelöschten S3-Bucket zeigt, den jetzt jeder übernehmen und unter deinem Namen Seiten ausliefern kann.
- Liest die Certificate-Transparency-Logs (über crt.sh) und meldet neue Zertifikate von einer Stelle, die deine Domain bisher nicht genutzt hat — Verlängerungen deiner üblichen Stellen, auch der mehreren, zwischen denen ein CDN wechselt, bleiben still.
- Nimmt die Subdomains aus diesen Logs, folgt jeweils dem CNAME und meldet solche, die auf etwas nicht mehr Vorhandenes zeigen oder auf die „Hier ist nichts“-Seite eines bekannten Dienstes.
- Vergleicht deine CAA-Einträge mit der Stelle, die dein aktuelles Zertifikat ausgestellt hat, damit eine CAA-Änderung, die die nächste Verlängerung blockieren würde, vor dem Verlängerungstag auffällt.
Fragen zu Certificate-Transparency-Monitoring
Woher kennt es meine Subdomains?
Aus den Certificate-Transparency-Logs — dort steht jede Subdomain, die je ein öffentliches Zertifikat hatte — plus der Adresse deiner eigenen Website.
Was, wenn die Zertifikatslogs nicht erreichbar sind?
crt.sh, die öffentliche Log-Suche, ist oft langsam oder nicht verfügbar. Der Monitor sagt das dann und prüft weiter CAA und die Adresse deiner Website, statt fehlzuschlagen.
Greift es meine Subdomains an?
Es löst ihr DNS auf und lädt nur bei bekannten übernahmegefährdeten Diensten einmal die Startseite, um deren „Hier ist nichts“-Seite zu erkennen. Nichts Angriffsähnliches wird gesendet.
Schalte diesen Monitor auf Autopilot.
Für immer kostenlos auf einer Website — 100 Läufe im Monat, von dir gestartet oder wöchentlich, ohne Karte. Pro lässt deine Monitore nach jedem Update von selbst neu laufen.