10、探索TLS证书的演变

探索TLS证书的演变

相关工作

• 免费自动化证书颁发机构（CAs） ：过去大多数公钥基础设施（PKI）测量研究聚焦于有效证书，但曾有研究表明，大部分（88%）证书无效，主要经济原因导致，且大量无效证书源于物联网设备。后来，Let’s Encrypt的出现以及免费自动化CAs概念的提出，让获取有效证书变得经济可行。Sectigo和cPanel等其他CAs也纷纷跟进支持自动化证书颁发。
• 证书透明度（CT） ：
  • Benjamin等人研究发现CT日志拥有最大的证书集合，但在2016年CT尚处起步阶段时，研究人员观察到的证书中有15%未被CT记录。2018年，CT成为行业标准和主流浏览器的要求。
  • Gasser等人关注证书语法合规性，发现近90万个证书不符合基线要求，主要是少数CAs的问题。
  • Korzhitskii等人指出CT根存储应是主流浏览器根存储的超集，但多数CT日志缺少Apple、Microsoft或Mozilla根存储中的部分根证书。
  • 一些研究关注CT日志的可靠性和有效性，如Stark等人测量错误率，发现其运行中断极少；而Li等人认为由于CT日志数据量巨大，实时监控和可靠处理不切实际。

数据集和方法

数据集

• IPv4扫描 ：由Rapid7进行的公开扫描，旨在从HTTPS端点查找证书。数据集时间跨度从2013年9月到2021年12月，共观察