Jak monitorujete Certificate Transparency pro svou značku?

Co je Certificate Transparency a proč pomáhá krypto projektu?

Certificate Transparency je systém veřejných logů, do nichž certifikační autority zapisují certifikáty, které vydají. Protože jsou logy veřejné, může kdokoli prohledat jméno, včetně jména, které napodobuje vaše. Phishingový útočník, který chce HTTPS na podobné doméně, obvykle žádá o certifikát a tato žádost se stane viditelným záznamem.

To je důležité ve dvou situacích. První je podobná doména: útočník zaregistruje jméno podobné vašemu, získá certifikát a spustí kampaň. Druhá je únos: Blockaid uvedl, že v únorových frontendových kompromitacích 2026 byly útočnické SSL certifikáty vydány téhož dne jako změna DNS a že wildcard certifikáty byly vydány pro doménu Nerochain. Záznam v logu pro vaši vlastní doménu, který jste si nevyžádali, je včasné varování.

Citovatelná definice: monitorování Certificate Transparency je praxe prohledávání veřejných logů certifikátů pro jména obsahující vaši značku, aby se podobné a únosové certifikáty viděly ve chvíli vydání, ne když uživatelé utrpí škodu.

Jak hledáte v crt.sh svou značku?

Hledejte v crt.sh podle identity, s vaším názvem domény a názvem značky, a seznam kontrolujte každý týden. crt.sh je služba pro vyhledávání certifikátů provozovaná Sectigo. Přijímá jako identitu název domény nebo organizace, otisk certifikátu nebo ID crt.sh.

Jeho stránka Advanced uvádí operátory shody Autoselect, equals, ILIKE a LIKE, volbu rozsahu, zaškrtávací políčko pro vyloučení vypršelých certifikátů a jedno pro deduplikaci dvojic certifikát a precertifikát. Operátory LIKE jsou SQL operátory, v nichž znak procenta odpovídá libovolnému textu, takže vzor jako značka s procentem na každé straně vypíše jména, která ji obsahují. Stránka crt.sh nedokumentuje znaky vzoru, proto chování ověřte testovacím hledáním jména, které vlastníte.

Zaznamenávejte, co najdete. Veďte krátký seznam svých legitimních jmen a vydavatelů a každý další záznam kontrolujte. Pro každé podobné jméno postupujte podle kroků z jak najít podobné domény vaší značky.

Jak streamujete nové certifikáty pomocí CertStream?

CertStream doručuje nové záznamy Certificate Transparency v reálném čase a krátký skript označí ty, které odpovídají vaší značce. Je rychlý, ale hlučný, protože většina certifikátů nesouvisí, takže pravidlo shody rozhodne, jak je užitečný.

Knihovna v Pythonu se instaluje přes pip. Její README registruje callback, který dostane zprávu a kontext, kontroluje, že typ zprávy je certificate_update, a čte seznam domén z listu certifikátu. Ukázka níže sleduje tuto strukturu a přidává shodu se značkou.

# pip install certstream
import certstream

BRAND = 'examplecoin'

def on_cert(message, context):
    if message['message_type'] == 'certificate_update':
        for name in message['data']['leaf_cert']['all_domains']:
            if BRAND in name.lower():
                print(name)

certstream.listen_for_events(on_cert, url='wss://certstream.calidog.io/')

Které řetězce a přípony sledovat?

Sledujte přesnou značku, její běžné překlepy a značku spojenou se slovy jako login, claim, airdrop nebo wallet. Použijte dnstwist, open-source generátor permutací, abyste vytvořili varianty typu překlep, homoglyf, spojovník a záměna přípony, a tyto řetězce předejte svému porovnávači.

Vážte přípony podle dat o zneužití. Podle průzkumu Wardmint ze 12. listopadu 2026 je 6 z 10 přípon s nejvíce phishingovými doménami v datech Interisle za 1. května 2025 až 30. dubna 2026 prodáváno Wardmint: .com (869,180 domén), .pro (130,945), .info (99,602), .xyz (93,987), .shop (79,625) a .icu (74,786). Zbývající čtyři jsou .top, .cn, .vip a .cc. Wardmint neprodává .top. Přípony, které prodáváte, si vlastněte předem; odstraníte tím shody, které by si útočník jinak vzal.

Počet není riziko. Interisleovo skóre phishingu na 10,000 delegovaných domén dává .icu 1,607 a .pro 1,200.1 oproti 53.7 u .com, takže zásah v malé, zneužívané příponě si zaslouží rychlejší pohled než zásah v .com. Seznam a skóre jsou v které přípony domén se nejvíce používají pro phishing.

Co uděláte, když se objeví podezřelý certifikát?

Zkontrolujte název, zaznamenejte důkazy a jednejte v pořadí, které odpovídá případu. U podobného názvu jej bezpečně načtěte, pořiďte snímky obrazovky, uložte záznam certifikátu a stránku a proveďte kroky hlášení. U nečekaného certifikátu na vlastní doméně nejdřív ověřte své záznamy DNS a účet u registrátora, protože to může znamenat, že někdo změnil, kam vaše doména ukazuje.

Plán reakce je v co dělat, když phishingový web napodobuje váš projekt. Záznam CAA omezuje, které autority mohou vydávat pro vaše vlastní jména, jak je popsáno v jak nastavit záznamy CAA. Wardmint registruje domény a záznamy DNS; neprovozuje monitoring ani služby odstraňování, proto tento návod používá bezplatné nástroje.