प्रमाणपत्र पारदर्शिता खोज
किसी डोमेन के लिए जारी किया गया हर सार्वजनिक रूप से विश्वसनीय प्रमाणपत्र सार्वजनिक लॉग में लिखा जाता है — यह खोज उन्हें आपके लिए वापस पढ़ती है। एक डोमेन दर्ज करें और देखें कि crt.sh ने उसके और उसके सबडोमेन के लिए क्या दर्ज किया है: प्रत्येक प्रमाणपत्र किसने जारी किया, वह किन नामों को कवर करता है, और वह कब वैध था। यह वह ऑडिट है जो उन प्रमाणपत्रों को ढूँढता है जिन्हें आप भूल गए — और जिन्हें आपने कभी माँगा ही नहीं।
क्या आप चाहते हैं कि इस पर लगातार नज़र रखी जाए? myeventwatch से इसे मुफ़्त में मॉनिटर करें — समाप्ति और डाउनटाइम अलर्ट, कार्ड की ज़रूरत नहीं।
खोज क्या मापती है
प्रमाणपत्र पारदर्शिता प्रमाणपत्र जारीकरण को एक निजी लेनदेन से एक सार्वजनिक रिकॉर्ड में बदल देती है। जब कोई प्रमाणपत्र प्राधिकरण किसी सार्वजनिक नाम के लिए प्रमाणपत्र जारी करता है, तो वह प्रमाणपत्र को कई CT लॉग में जमा करता है, और ब्राउज़र उन प्रमाणपत्रों को अस्वीकार कर देते हैं जो लॉग नहीं हुए हैं। इसका दुष्प्रभाव रक्षकों के लिए एक उपहार है: हर डोमेन का पूरा जारीकरण इतिहास सार्वजनिक रूप से पड़ा है, पढ़े जाने की प्रतीक्षा में। यह पेज sysosx के सर्वर पर GET /api/check/cert-search को कॉल करता है, जो crt.sh — उन लॉग का सार्वजनिक सूचकांक — को डोमेन और उसके नीचे की हर चीज़ के लिए एक ही अनुरोध करता है, उत्तर को सामान्य बनाता है, उसे सबसे नए क्रम में लगाता है, और उसे एक घंटे के लिए कैश करता है। 200 तक प्रविष्टियाँ दिखाई जाती हैं; इससे अधिक वाले डोमेन को कटौती सूचना और वास्तविक कुल मिलता है, कभी चुपचाप काटा नहीं जाता।
परिणाम को एक फ़ैसले के रूप में नहीं, एक सूची के रूप में पढ़ें। प्रत्येक प्रविष्टि के लिए उत्पादक प्रश्न है “हमारे किस सिस्टम ने यह माँगा था?” आधुनिक संपदाएँ अपने मालिकों की समझ से कहीं अधिक जगहों से प्रमाणपत्र जारी करती हैं: वेब होस्ट, CDN, मेल प्रदाता, मार्केटिंग टीम का साइट बिल्डर, किसी के पिछले साल खड़े किए गए क्लस्टर पर Kubernetes ingress। उनमें से अधिकांश वैध हैं और कई आपके लिए फिर भी ख़बर होंगी — जो अपने आप में उपयोगी है, क्योंकि एक प्रमाणपत्र सूची जो आपने कभी देखी ही नहीं, किसी की नवीनीकरण या निरसन योजना का हिस्सा नहीं बन सकती। सबसे महत्वपूर्ण प्रविष्टियाँ वे हैं जिन्हें कोई किसी सिस्टम से नहीं जोड़ सकता: एक अज्ञात जारीकर्ता, एक अज्ञात सबडोमेन, आसपास कोई परिनियोजन न होने वाली जारी तिथि। वे दुर्लभ हैं, और वे ठीक वही हैं जिन्हें सामने लाने के लिए CT को डिज़ाइन किया गया था।
तीन टूल, तीन प्रश्न
यह खोज “कभी क्या जारी किया गया है?” का उत्तर देती है। SSL चेकर एक लाइव हैंडशेक के साथ “सर्वर अभी क्या प्रस्तुत कर रहा है?” का उत्तर देता है — यह जानने का एकमात्र तरीका कि आगंतुकों को वास्तव में क्या मिलता है। SSL ग्रेडर “उस सर्वर का TLS कितनी अच्छी तरह कॉन्फ़िगर किया गया है?” — प्रोटोकॉल संस्करण, फ़ॉरवर्ड गोपनीयता, HSTS, एक अक्षर ग्रेड के साथ — का उत्तर देता है। और ब्राउज़र-पक्ष का SSL प्रमाणपत्र पार्सर एक प्रमाणपत्र फ़ाइल पढ़ता है जो आपके पास पहले से है। एक नवीनीकरण जो लॉग में मौजूद है लेकिन कभी परिनियोजित नहीं हुआ, यहाँ दिखाई देता है, चेकर में नहीं; एक पुराना प्रमाणपत्र प्रस्तुत करने वाला सर्वर चेकर में दिखाई देता है, यहाँ नहीं। जब वे असहमत होते हैं, तो प्रत्येक अपनी सच्चाई बता रहा होता है — उसी का उपयोग करें जो आपके प्रश्न से मेल खाता हो।
अक्सर पूछे जाने वाले प्रश्न
प्रमाणपत्र पारदर्शिता क्या है, एक पैराग्राफ़ में?
2018 से, ब्राउज़रों को आवश्यकता है कि सार्वजनिक रूप से विश्वसनीय प्रमाणपत्र प्रमाणपत्र पारदर्शिता (CT) लॉग में प्रकाशित किए जाएँ — हर प्रमाणपत्र की सार्वजनिक, केवल-जोड़ने योग्य सूचियाँ जो एक CA जारी करता है। लॉग इसलिए मौजूद हैं ताकि ग़लत जारीकरण छिप न सके: यदि आपके डोमेन के लिए एक प्रमाणपत्र दिखाई देता है जिसे आपने कभी नहीं माँगा, तो वह देखने वाले हर किसी को दिखाई देता है, आपको भी। यह टूल crt.sh — उन लॉग का सबसे प्रसिद्ध सार्वजनिक सूचकांक — के माध्यम से आपकी ओर से देखता है।
यह SSL चेकर और SSL ग्रेडर से कैसे अलग है?
तीन अलग-अलग प्रश्न। SSL चेकर पूछता है कि एक सर्वर अभी, एक लाइव हैंडशेक में, कौन-सा प्रमाणपत्र प्रस्तुत करता है। SSL ग्रेडर ऑडिट करता है कि उस सर्वर का TLS कैसे कॉन्फ़िगर किया गया है — प्रोटोकॉल, सिफ़र, HSTS — और उसे ग्रेड देता है। यह खोज पूछती है कि सार्वजनिक लॉग के अनुसार, डोमेन के लिए कभी क्या जारी किया गया है। यह उन प्रमाणपत्रों को सामने ला सकती है जो लाइव टूल नहीं ला सकते: भूले हुए स्टेजिंग प्रमाणपत्र, उन CA से प्रमाणपत्र जिनका उपयोग आपका संगठन अब नहीं करता, और — वह मामला जिसके लिए CT बनाया गया था — वे प्रमाणपत्र जिन्हें आपकी टीम में किसी ने भी बिल्कुल नहीं माँगा।
यह मेरे ब्राउज़र के बजाय सर्वर से क्यों चलता है?
इस साइट का ब्राउज़र-पक्ष प्रमाणपत्र पार्सर भी crt.sh लुकअप प्रदान करता है, और स्पष्ट रूप से कहता है कि यह काम करता है या नहीं, यह crt.sh के क्रॉस-ऑरिजिन हेडर पर निर्भर करता है — एक ब्राउज़र केवल वही पढ़ सकता है जिसे पढ़ने की अनुमति कोई तृतीय-पक्ष सेवा उसे देती है। सर्वर-पक्ष अनुरोध को संतुष्ट करने के लिए कोई क्रॉस-ऑरिजिन नीति नहीं होती, इसलिए यहाँ की खोज हर बार उसी तरह काम करती है। समझौता हमेशा वाला ही है: आप जो डोमेन दर्ज करते हैं वह sysosx के सर्वर से crt.sh को भेजा जाता है (और, एक घंटे के लिए, उत्तर कैश किया जाता है), जिसे पेज छिपाने के बजाय बताता है।
मुझे ऐसे प्रमाणपत्र दिख रहे हैं जिन्हें मैं पहचानता नहीं। क्या मुझे घबराना चाहिए?
अभी नहीं। अधिकांश अपरिचित प्रविष्टियाँ साधारण हैं: आपकी ओर से जारी करने वाला होस्टिंग प्रदाता या CDN (Cloudflare, एक लोड बैलेंसर, एक वेबसाइट बिल्डर), एक प्रमाणपत्र प्राधिकरण जिससे आपका संगठन हट गया है, या एक स्वचालित नवीनीकरण प्रणाली जिसे किसी ने सेट किया और भूल गया। सूची को जारीकर्ता और तिथि के अनुसार देखें और प्रत्येक प्रविष्टि को उस सिस्टम से जोड़ें जिसे आप चलाते हैं या उस प्रदाता से जिसे आप भुगतान करते हैं। घबराहट — ठीक है, तत्काल जाँच — बाकी के लिए है: एक ऐसे CA से प्रमाणपत्र जिसका कोई उपयोग नहीं करता, उन नामों को कवर करता है जिन्हें कोई नहीं चलाता, ऐसे समय पर जारी किया गया जब किसी ने कुछ भी परिनियोजित नहीं किया। वह या तो आपकी अपनी संपदा का एक भूला हुआ कोना है जिसे दस्तावेज़ित करना उचित है, या वह ग़लत जारीकरण है जिसे पकड़ने के लिए CT मौजूद है, और उसका पीछा तब तक करना चाहिए जब तक वह समझाया न जाए।
परिणाम एक घंटे के लिए कैश क्यों किया जाता है, और खोज विफल क्यों हो सकती है?
क्योंकि crt.sh एक मुफ़्त सार्वजनिक सेवा है, भार के तहत कुख्यात रूप से धीमी है, और प्रमाणपत्र इतिहास मिनटों के बजाय दिनों में बदलता है — एक घंटे की कैशिंग ताज़गी में कुछ भी खर्च नहीं करती और इस टूल को crt.sh के बोझ में जोड़ने से रोकती है: प्रति डोमेन प्रति घंटे अधिकतम एक अपस्ट्रीम क्वेरी। जब crt.sh बंद होता है या बहुत धीमा होता है, तो खोज एक खाली सूची लौटाने के बजाय एक स्पष्ट त्रुटि के साथ ऐसा कहती है, क्योंकि “कोई प्रमाणपत्र नहीं मिला” और “लॉग खोज विफल रही” विपरीत निष्कर्ष हैं और उनमें से केवल एक ही सच है।