Apple 证书透明度(CT)相关政策

TLS 服务器身份验证证书必须符合 Apple 的证书透明性(CT)策略,才能在 Apple 平台上被评估为受信任的。

如果证书不符合 Apple 的政策,则会导致 TLS 连接失败,这可能会中断应用程序与 Internet 服务的连接或 Safari 的无缝连接能力。

在 2021 年第一季度,Apple 提出了自己的证书透明度日志计划。

政策要求

加入 Apple 证书透明度日志计划,日志必须满足以下所有要求:

  • 日志实例必须按照 RFC6962 中的规定来实施 CT。

  • 同一日志不得在不同时间并且/或向不同相关方呈现两个或更多相互冲突的墨克树视图。

  • 日志的最大合并延迟 (MMD) 为 24 小时。

  • 如果日志在 MMD 期限内为某个证书创建了 SCT,则日志必须包含这个证书。

  • 日志实例必须满足 Apple 对于正常运行时间要达到 99%(由 Apple 来衡量)的要求。

  • 日志的服务中断时长不能超过 MMD。

  • Apple 的合规性根 CA 会发放相应的证书,以监控日志对于相关政策的遵守情况;因此,日志必须接受这些证书。

  • 日志必须信任 Apple 受信任证书存储区内包含的所有根 CA 证书。日志可以信任 Apple 受信任证书存储区内可能并不包含的其他根证书。

每个运营商最多可以使用三个合格的或可用的日志实例。对于不存在证书过期限制的日志,实例会以 URL 和日志签名密钥的形式呈现。对于存在证书过期限制的日志,一组分时日志会被视为单个实例。以下示例呈现的就是一个运行四个时间分段的单日志实例:

Company A 'Loggy 2020' log: accepts certificates that expire between 2020-01-01 00:00:00 UTC - 2021-01-01 00:00:00 UTC
Company A 'Loggy 2021' log: accepts certificates that expire between 2021-01-01 00:00:00 UTC - 2022-01-01 00:00:00 UTC
Company A 'Loggy 2022' log: accepts certificates that expire between 2022-01-01 00:00:00 UTC - 2023-01-01 00:00:00 UTC
Company A 'Loggy 2023' log: accepts certificates that expire between 2023-01-01 00:00:00 UTC - 2024-01-01 00:00:00 UTC

对于 notBefore 值大于或等于 2021 年 4 月 21 日(2021-04-21T00:00:00Z)的证书,基于证书生存期的嵌入式 SCT 数量:

对于 notBefore 值小于 2021 年 4 月 21 日(2021-04-21T00:00:00Z)的证书,基于证书生存期的嵌入式 SCT 数量:

对于 notBefore 值等于或大于 2021-04-21T00:00:00Z 的证书,日志操作员可以拒绝不包含 serverAuth EKU 的叶子证书。

日志操作员必须至少提前 45 天书面通知 certificate-transparency-program@group.apple.com ,以了解其日志接受的一组叶子证书的任何更改。


Apple 证书透明度(CT)相关政策 / yihegf / https://www.yihegf.top/apple-%e8%af%81%e4%b9%a6%e9%80%8f%e6%98%8e%e5%ba%a6%ef%bc%88ct%ef%bc%89%e7%9b%b8%e5%85%b3%e6%94%bf%e7%ad%96/
THE END
分享
二维码
< <上一篇
下一篇>>