«CT-log» — это самый частый сценарий, почему имя остается в открытом доступе, даже если его нет в DNS

В сфере искусственного интеллекта произошло заметное событие. jbenderov 1 час назад «CT-log» — это самый частый сценарий, почему имя остается в открытом доступе, даже если его нет в DNS Средний 5 мин 2. 5K Информационная безопасность * Сетевые технологии * DevOps * Аналитика Проверял, что видно про домен заказчика снаружи, и выписал имена из журналов Certificate Transparency. В списке оказались jenkins, gitlab-runner и пара стендов с именами вида test-2 — ни одного из них в публичном DNS не было.

Имя знает не только команда. Его знает весь интернет, причём с того момента, как вы выпустили на этот хост TLS-сертификат. Как имя попадает в открытый реестрCertificate Transparency — это система публичных журналов, куда попадает каждый выпущенный сертификат.

Технические детали

Придумана она после нескольких случаев, когда удостоверяющие центры выпускали сертификаты на чужие домены: идея в том, чтобы владелец домена мог заметить такой выпуск, а не узнавать о нём от пострадавших. Механика такая: Chrome с 30 апреля 2018 года требует, чтобы публично доверенный сертификат сопровождался SCT — подписанными отметками журналов о том, что сертификат в них принят. Apple включила аналогичное требование в Safari осенью 2018-го, Firefox — только в 2025-м, в версии 135.

Нет отметок — Chrome и Safari показывают ошибку. То есть удостоверяющий центр вынужден публиковать сертификат, иначе тот бесполезен. В журнал попадает precertificate — копия будущего сертификата, которую центр логирует до выпуска, чтобы получить отметки.

Имена в ней те же самые: полный список поля SAN, тех самых имён, на которые вы сертификат и выпускали. Журналы доступны любому. Запрос по домену возвращает всё, что когда-либо выпускалось на него и на его поддомены:$ curl -s ' \ | jq -r '..

Отраслевые последствия

dns_names' | sort -u 6 выпусков, 8 уникальных имён *. com В сыром виде интерфейс отдаёт JSON, здесь оставлены только имена. Тут владелец домена всё сделал правильно: наружу перечислены публичные сервисы, а внутренние зоны закрыты звёздочками — почему это важно, разберу ниже.

Гораздо чаще вывод выглядит иначе: vpn-test. com Ни одного из этих имён нет в публичной зоне. Все они — в открытом журнале, навсегда.

Что из этого списка вычитываетсяСтек и инструменты. jenkins, grafana, gitlab, 1c-web называют используемые продукты. Дальше уже известно, какие у них бывают типовые проблемы и какие версии считаются проблемными.

Событие, по словам экспертов, усилит конкуренцию в сфере ИИ.