證書透明度（CT）是公鑰基礎(chǔ)設(shè)施PKI的重要組成部分，有了它，域名所有者、瀏覽器和其他感興趣的人都可以查看哪些CA在何時(shí)為哪些域名簽發(fā)了哪些證書，這對(duì)確保證書合法性、保護(hù)網(wǎng)絡(luò)安全至關(guān)重要。那么什么是證書透明度（CT）？哪些瀏覽器支持證書透明度（CT）？今天我們將深入探討。

什么是證書透明度（CT）?

證書透明度（CT），英文全稱Certificate Transparency，簡(jiǎn)稱CT，是用于記錄和監(jiān)視SSL證書頒發(fā)的系統(tǒng)，其目的是為了監(jiān)控CA或其他惡意人員偽造服務(wù)器證書。有了證書透明度，新簽發(fā)的證書就會(huì)被 “記錄 ”到公開運(yùn)行的CT日志中，從而為SSL證書信任提供了額外的安全保障，讓客戶端不只是簡(jiǎn)單的信任CA，而是讓用戶或企業(yè)可以隨時(shí)通過CT查詢和監(jiān)控誰為自己的域名簽發(fā)了SSL證書，從而確保證書的合法性。

（證書透明度工作運(yùn)行機(jī)制圖）

備注：我們可以使用CT Log查詢工具—SSL證書簽發(fā)日志查詢，根據(jù)企業(yè)名稱或域名查詢CA簽發(fā)的所有SSL數(shù)字證書，了解證書透明度。

哪些瀏覽器支持證書透明度（CT）？

Google Chrome、Apple Safari、Mozilla Firefox 和 Microsoft Edge等主流瀏覽器均支持證書透明度，將其納入了自身的安全策略。

1、Google Chrome

Google Chrome 瀏覽器要求包含CT日志，要求頒發(fā)的所有SSL證書都支持證書透明度（CT），否則用戶將無法訪問使用不合規(guī)SSL證書的網(wǎng)站。

2、Apple Safari

Apple Safari瀏覽器支持證書透明度（CT），要求頒發(fā)的所有SSL證書必須在公眾可訪問的證書透明度（CT）日志中進(jìn)行記錄，才能受到Safari瀏覽器的信任，不符合證書透明度政策的證書將導(dǎo)致TLS 連接失敗。

3、Mozilla Firefox

Mozilla Firefox瀏覽器支持證書透明度（CT），從第133版開始，Nightly默認(rèn)執(zhí)行該功能，要求頒發(fā)的所有SSL證書都必須附帶足夠的證書透明度信息，否則，對(duì)于部署不合規(guī)SSL證書的網(wǎng)站，Nightly將顯示錯(cuò)誤頁面。

4、Microsoft Edge

2024年2月，微軟在Windows的Crypt32中添加了證書透明度策略，通過檢測(cè)簽名證書時(shí)間戳 (SCT)來確保SSL證書的有效性。目前，Microsoft Edge的證書透明度（CT）政策在Windows系統(tǒng)中采用審計(jì)模式，預(yù)計(jì)到2024 年底，其他應(yīng)用程序也將開始執(zhí)行該政策。

總而言之，Chrome、Safari、Firefox 和 Edge等主流瀏覽器支持證書透明度（CT），證書透明度（CT）在網(wǎng)絡(luò)安全領(lǐng)域中發(fā)揮著巨大的作用，可有效防止SSL證書的錯(cuò)誤頒發(fā)和濫用，是提升網(wǎng)絡(luò)安全性的重要機(jī)制。

作為國(guó)內(nèi)數(shù)字證書行業(yè)領(lǐng)先者，銳成信息深耕數(shù)字證書領(lǐng)域數(shù)十年，始終遵循高標(biāo)準(zhǔn)來驗(yàn)證身份和頒發(fā)高可信度的數(shù)字證書，提供Sectigo、Digicert、Geotrust、銳安信sslTrus等業(yè)內(nèi)權(quán)威SSL證書，這些證書都經(jīng)過CT驗(yàn)證并保存在CT日志的記錄中，保護(hù)您的網(wǎng)站免遭SSL證書的錯(cuò)誤頒發(fā)和濫用。