Certificate Transparency Observatory - Certificate Transparency 的瑞士军刀

[dndx]

最近 Certificate Transparency 标准得到了更加广泛的支持， 连老流氓 CNNIC 都开 Log Server 了。

介于目前 Log Server 鱼目混珠数量较多， Certificate Transparency Observatory 每隔一分钟会向所有的公开 Log Server 发送 STH Retrive 和 Merkle Consistency Proof 请求来确保流氓行为不会出现。所有的 misbehavior 都会被 Certificate Transparency Observatory 记录在案，想赖都没法赖。

另外今天晚上花了几个小时实现了快速向所有的 Log Server 提交证书的功能，如果你的 CA 前发的证书不含 SCT ，你可以使用我们的 Submit a Certificate 功能快速的向 11 个公开服务器提交证书，服务器返回的 .sct 文件会保存在一个 .zip URL 方便在服务器上 wget。此功能对服务器在墙内的同学有奇效因为 Google 的 3 个 Log Server 在国内不使用特殊手段都是没法访问的。另外我们使用 goroutine 来提升提交速度，一般几秒钟就可以提交好全部 11 个服务器。

地址：ct-status.org

有问题欢迎跟帖，部分功能仍在开发中，新功能上线后同样会在此贴公布。目前想做的：
* API
* 各种图表
* 新证书监控 （比如如果你是 example.com 的站长我们希望可以在 example.com 的证书被签发时获得邮件通知）

Mar 4 更新：
* 增加了每个 Log 的 Trend 显示，目前数据量较少，过几天应该图表会看起来更好看些
* 重新设计了 Certificate Submission 功能 ，现在提交时会有实时进度条显示

Go 的 "http/template" 真是生产力一大阻碍...

[DesignerSkyline]

原来其实就有一个 CT observatory https://ctwatch.net/

[pupboss]

已经试了，很不错！不过有的证书，不被部分服务器 trust
这个特性貌似只有在 Chrome 上面有，所以另外 8 台服务器信任的.sct 有什么用呢？

[dndx]

@pupboss 安装到 web server 上以后全部会发给浏览器，浏览器信任那个就用哪个，理论上只要一个信任就可以满足 CT 要求。

有些服务器貌似只支持添加他们自己的证书，比如 Symantec ， CNNIC 不过全部发过去也没啥坏处所以我就偷懒直接开 11 个 goroutine 提交了，除非全部失败否则问题不大..