Certificate Transparency logs: o sistema de alerta que a maioria das empresas ignora

Neste exato momento, se qualquer Autoridade Certificadora do mundo emitir um certificado para o seu domínio — autorizada ou não, legítima ou fraudulenta — esse fato fica registrado em segundos num log público, permanente e que qualquer um pode consultar. Essa é a promessa do Certificate Transparency (CT), e ela é uma das ferramentas de segurança mais poderosas e mais subutilizadas que existem.

A maioria das empresas sabe que os CT logs existem — afinal, é o navegador que os exige. O que poucas fazem é monitorá-los ativamente. E é justamente nesse monitoramento que está a diferença entre descobrir um ataque em horas ou descobri-lo semanas depois, quando o estrago já foi feito.

O que são os CT logs e por que existem

Antes do Certificate Transparency, o ecossistema de CAs tinha um ponto cego crítico: não havia como saber quais certificados haviam sido emitidos para um dado domínio. Uma CA comprometida ou mal-intencionada podia emitir um certificado para seubanco.com e ninguém — nem o dono do domínio — seria alertado.

Essa vulnerabilidade ficou concreta no caso DigiNotar, em 2011. A CA holandesa foi comprometida e emitiu certificados fraudulentos para Google, Mozilla e outros domínios de alto perfil. Esses certificados permitiram ataques man-in-the-middle contra usuários iranianos antes da brecha ser descoberta, semanas depois. A demora aconteceu justamente porque não havia registro público para monitorar.

O CT nasceu para fechar esse buraco. É um framework aberto no qual certificados recém-emitidos são "logados" em CT logs públicos e frequentemente independentes — que mantêm um registro append-only (só de adição), criptograficamente garantido, dos certificados TLS emitidos. Hoje é obrigatório: o Chrome rejeita certificados sem SCTs (Signed Certificate Timestamps) válidos desde 2018, o que torna a conformidade com CT mandatória para todas as CAs publicamente confiáveis, não opcional.

O detalhe crucial: CT detecta, não previne

Aqui está o ponto que a maioria não entende e que define por que o monitoramento importa tanto. Os CT logs detectam a má emissão (mis-issuance) — eles não a previnem. Uma CA ainda pode emitir um certificado fraudulento e submetê-lo aos CT logs. O valor está em que a emissão se torna publicamente visível quase imediatamente, permitindo que donos de domínio ou pesquisadores de segurança a detectem.

Em outras palavras: o CT transforma um ponto cego que durava meses num sinal que aparece em minutos — mas só se alguém estiver olhando. O valor do CT é a velocidade de detecção, transformando o que costumava ser um ponto cego de meses em algo que pode aparecer em horas após a emissão. Um log público que ninguém monitora protege tanto quanto uma câmera de segurança desligada.

Três coisas que o monitoramento de CT revela

O monitoramento contínuo dos CT logs para os seus domínios entrega três tipos de visibilidade que nenhuma outra ferramenta dá com a mesma antecedência.

1. Certificados emitidos sem autorização para os seus domínios

Este é o caso de uso original e o mais crítico. Qualquer uma das cerca de 150 CAs raiz confiáveis pode emitir um certificado para qualquer domínio. Se alguém obtém um certificado para suaempresa.com de qualquer CA, você vê isso nos logs — mesmo que você não tenha solicitado. É a defesa direta contra o cenário DigiNotar: uma CA comprometida emitindo certificados para o seu domínio deixa de ser invisível.

2. Phishing e typosquatting antes do ataque

Este é talvez o uso mais acionável no dia a dia. Atacantes precisam de certificados para que seus sites de phishing pareçam legítimos — o cadeado é parte do golpe. E ao obter esse certificado, eles se expõem. Quando um atacante registra um domínio de phishing e obtém um certificado, esse certificado aparece nos CT logs públicos em segundos a minutos. Isso cria uma janela de detecção — frequentemente antes mesmo da campanha de phishing ser lançada — em que os defensores podem identificar e responder à ameaça.

O mecanismo pega variações típicas: um atacante registrando "suaempresa-login.com" e requisitando um certificado SSL cria um sinal detectável antes de lançar a campanha. Monitorar os logs por domínios parecidos com a sua marca — erros de digitação, homóglifos, padrões suspeitos — dá à equipe de segurança tempo de agir. O CT é particularmente valioso para detectar infraestrutura de phishing adversary-in-the-middle, porque frameworks AiTM como o Evilginx provisionam certificados automaticamente para domínios controlados pelo atacante, deixando um rastro nos CT logs antes do primeiro e-mail de phishing ser enviado.

3. Shadow IT e ativos esquecidos

Um uso que conversa diretamente com o problema dos certificados fantasma: os CT logs revelam quando alguém dentro da sua organização sobe um serviço fora do processo. Para organizações com processos formais de gestão de certificados, o monitoramento de CT dos domínios próprios funciona como um detector contínuo de shadow IT. Um time que sobe um serviço com um certificado TLS sem passar pelo processo padrão de provisionamento é detectável no CT antes mesmo do serviço estar no ar.

E isso complementa qualquer inventário interno. Novos subdomínios que a organização cria são visíveis no CT, o que é um complemento útil de inventário de ativos. O CT é frequentemente mais completo que qualquer registro interno de ativos, especialmente em organizações grandes. Certificados para jenkins.corp.suaempresa.com, legacy-api.suaempresa.com ou test.empresaadquirida.com mapeiam a sua superfície de ataque real — inclusive a parte que você não sabia que existia.

O limite honesto: o que o CT não cobre

Para usar CT com competência, é preciso conhecer suas fronteiras. Os CT logs registram apenas certificados publicamente confiáveis. Certificados de PKI interna, emitidos por uma CA privada da sua organização, não aparecem nos logs. Para esses, você depende de scan de rede e descoberta em servidores e cloud — o CT é uma das fontes de descoberta, não a única.

Há também o lado de dupla utilidade. Os mesmos dados que você usa para se defender, atacantes usam para reconhecimento: pesquisadores de segurança usam os dados de CT log para descoberta de ativos, e atacantes podem fazer o mesmo. Organizações devem tratar sua pegada nos CT logs como informação pública e garantir que nomes de host internos nunca recebam certificados públicos. Colocar banco-interno-dev.suaempresa.com num certificado público é entregar esse nome ao mundo.

De sinal público a defesa operacional

O desafio prático do CT não é a falta de dados — é o volume. Milhares de certificados são emitidos por minuto globalmente. Transformar esse fluxo num alerta útil exige infraestrutura: construir a infraestrutura de polling com gerenciamento de estado e rastreamento de log adequados, ou usar um serviço que já resolveu esses problemas.

É por isso que o monitoramento de CT faz mais sentido acoplado à gestão de certificados, não como uma ferramenta isolada. A recomendação madura é integrar o monitoramento de CT a uma plataforma mais ampla de gestão do ciclo de vida de certificados, para que os alertas de mis-issuance fiquem lado a lado com o rastreamento de expiração e renovação. Um bom monitoramento de CT dentro de um CLM deve:

Filtrar o ruído. Alertar sobre o que importa — certificados para os seus domínios e variações suspeitas — sem afogar a equipe em milhares de emissões irrelevantes.

Cobrir os padrões de ameaça. Typosquatting, homóglifos e subdomínios inesperados, não só o match exato do seu domínio.

Alimentar a ação, não só o alerta. Um certificado inesperado detectado no CT precisa disparar um fluxo — investigação, takedown, ou reconciliação com o inventário — e não apenas gerar mais uma notificação que ninguém lê.

Compor com a descoberta. O CT é uma fonte de descoberta entre outras. Combinado com scan de rede e descoberta em cloud, ele fecha a parte pública do inventário; sozinho, cobre só um pedaço.

Os CT logs são um dos poucos sinais verdadeiramente públicos e em tempo real do ecossistema de certificados. O dado é gratuito, é imediato, e conta coisas sobre a sua própria infraestrutura que você talvez ainda não saiba. A pergunta não é se vale a pena monitorá-los — é por que tantas organizações ainda deixam esse alerta desligado.

Este artigo trata de detecção de ameaças e infraestrutura de segurança. Os casos citados são de domínio público e servem para ilustrar o valor operacional do monitoramento de CT logs.