خبر خوب برای تیم‌های امنیت و SRE: قابلیت Certificate Transparency Monitoring حالا به صورت generally available در دسترس است 🎉. این سرویس از زمان beta عمومی در 2019 فعال بوده و به شما اطلاع می‌داد هر زمان که یک TLS certificate جدید در یک public Certificate Transparency (CT) log برای دامنه‌های شما ظاهر شود. تا امروز این سرویس برای بیش از 650,000 دامنه مشتری فعال شده است.

چرا مهم است؟ این یک هشدار اولیه است که نشان می‌دهد کسی برای یک hostname در زون شما certificate صادر کرده و به شما فرصت می‌دهد که mis-issued certificate را زود شناسایی کنید. این سیگنال می‌تواند شدت حملات یا اشتباهات مدیریتی در زنجیره صدور گواهی را سریع‌تر مشخص کند و زمان واکنش شما را کاهش دهد 🕒.

اما یک مشکل عملی وجود داشت: نویز (noise). دلیلش ساده است — سرویس‌هایی مثل Cloudflare به نمایندگی از شما حجم زیادی certificate صادر می‌کنند: Universal SSL renewals، گواهی‌های صادرشده از Advanced Certificate Manager و backup certificates. همه این‌ها طبق طراحی باید در public CT logs ثبت شوند؛ چون مرورگرهای بزرگی مثل Google Chrome و Apple’s Safari به گواهی‌ای که در CT log ثبت نشده باشد اعتماد نمی‌کنند. در نتیجه همان شفافیتی که به شما کمک می‌کند mis-issuance را ببینید، همه گواهی‌های عادی و تجدیدهای خودکار را هم نشان می‌دهد.

مسئله دوم این است که صدور گواهی یک رویداد تک‌باره نیست؛ گواهی‌ها کوتاه‌مدت هستند و به‌صورت خودکار renew می‌شوند. یک Universal SSL certificate ممکن است هر 60 روز یکبار تجدید شود — یعنی تا حدود شش بار در سال. طبق تصمیم CA/Browser Forum که حداکثر عمر گواهی را تا 47 روز تا سال 2029 کاهش داده، این تناوب تجدیدها حتی بیشتر خواهد شد و در نتیجه حجم رکوردهای واردشده در CT logs افزایش می‌یابد.

نتیجه عملی برای تیم‌های SRE این است که هر یک از این تجدیدها می‌تواند یک alert تولید کند؛ وقتی که در مقیاس Cloudflare صدها هزار یا میلیون‌ها تجدید رخ می‌دهد، یک گواهی واقعاً مشکوک ممکن است دقیقاً شبیه یک تجدید معمولی به نظر برسد و هشدارها به‌شدت پر سر و صدا شوند — چیزی که همکاران شما هم به آن برخورد کرده‌اند 🔔.

نکته فنی برای مدیریت بهتر این سیگنال‌ها: لازم است سیستم‌های نظارتی و هشداردهی شما بتوانند بین موارد عادی و موارد مشکوک تفکیک کنند. روش‌های معمول شامل فیلتر کردن renewalهای شناخته‌شده، گروه‌بندی alerts براساس fingerprint یا issuer، و ادغام با دیتابیس داخلیِ صدور گواهی (inventory) برای تطابق خودکار هستند. همچنین نگاه داشتن یک فرآیند پاسخگویی (playbook) روشن برای زمانی که یک certificate غیرمنتظره ظاهر شد، بسیار کمک‌کننده است؛ مثلاً بررسی issuer، زمان صدور، SANها و cross-check با تیم‌های سرویس‌دهنده.

در مجموع، Certificate Transparency Monitoring ابزار قدرتمندی است برای دریافت هشدارهای زودهنگام در مورد صدور گواهی‌های غیرمنتظره، اما برای اینکه این ابزار واقعاً مفید باشد باید نویزها را مدیریت کنید و آن را با فرآیندهای داخلی و ابزارهای observability/alerting خود یکپارچه کنید. اگر دوست دارید می‌توانم نکات عملی برای تنظیم فیلترها و playbookهای پاسخ به این هشدارها را هم برای تیم شما توضیح بدهم ✅.